Pilar Manual de Usuario 4.4

SIN CLASIFICAR
GUÍA DE SEGURIDAD DE LAS TIC

(CCN-STIC-472B)
MANUAL DE USUARIO
PILAR Basic versión 4.4
FEBRERO 2010
SIN CLASIFICAR
SIN CLASIFICAR
CCN-STIC-472B v1.0 Manual de usuario de PILAR Basic v4.4
Edita:
 Editor y Centro Criptológico Nacional, 2010

NIPO: 076-10-070-3
Tirada: 1000 ejemplares

Fecha de Edición: febrero de 2010
Andrés Méndez Barco ha elaborado el presente documento.
José A. Mañas ha participado en la elaboración y modificación del presente documento.
LIMITACIÓN DE RESPONSABILIDAD
El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente
cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico
Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la
utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad.
AVISO LEGAL
Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las
sanciones establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o
procedimiento, comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del
mismo mediante alquiler o préstamo públicos.
Centro Criptológico Nacional i

SIN CLASIFICAR
SIN CLASIFICAR
PRÓLOGO
El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los
ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán conflictos y
agresiones, y donde existen ciberamenazas que atentarán contra la seguridad nacional, el estado de
derecho, la prosperidad económica, el estado de bienestar y el normal funcionamiento de la sociedad y
de las administraciones públicas.
La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda al Centro
Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las tecnologías de la
información en su artículo 4.e), y de protección de la información clasificada en su artículo 4.f), a la
vez que confiere a su Secretario de Estado Director la responsabilidad de dirigir el Centro Criptológico
Nacional en su artículo 9.2.f).
Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en materia de
riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional, regulado por el
Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente relacionadas con la
seguridad de las TIC, orientadas a la formación de personal experto, a la aplicación de políticas y
procedimientos de seguridad, y al empleo de tecnologías de seguridad adecuadas.
Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir
normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las
tecnologías de la información y las comunicaciones de la Administración, materializada en la
existencia de la serie de documentos CCN-STIC.
Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso
de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de 22 de
junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo 42.2 sobre el
Esquema Nacional de Seguridad (ENS).
Precisamente el Real Decreto 3/2010, de 8 de enero, de desarrollo del Esquema Nacional de Seguridad
fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los
sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las
tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor
cumplimiento de dichos requisitos mínimos.
En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del
Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad, conscientes de la
importancia que tiene el establecimiento de un marco de referencia en esta materia que sirva de apoyo
para que el personal de la Administración lleve a cabo su difícil, y en ocasiones, ingrata tarea de
proporcionar seguridad a los sistemas de las TIC bajo su responsabilidad.
Febrero de 2010
Félix Sanz Roldán

Secretario de Estado
Director del Centro Criptológico Nacional
Centro Criptológico Nacional ii

SIN CLASIFICAR
SIN CLASIFICAR
ÍNDICE
1. INTRODUCCIÓN............................................................................................................ 5
1.1. EL MODELO .............................................................................................................5
2. REQUISITOS................................................................................................................... 5
3. INSTALACIÓN ............................................................................................................... 6
3.1. JAVA ..........................................................................................................................6
3.2. WINDOWS ................................................................................................................7
3.3. LINUX/UNIX.............................................................................................................8
3.4. MAC OS X .................................................................................................................8
4. COMPATIBILIDAD ENTRE PILAR Y PILAR BASIC ................................................ 8
4.1.1. VALORACIÓN DE LOS DOMINIOS..................................................................8
4.1.2. AMENAZAS ..........................................................................................................9
4.1.3. SALVAGUARDAS, DOMINIOS Y FASES.........................................................9
5. USO ................................................................................................................................ 10
5.1. FICHEROS...............................................................................................................12
5.1.1. CONFIGURACIÓN .............................................................................................12
5.1.2. BIBLIOTECA ......................................................................................................12
5.1.3. LICENCIA............................................................................................................13
5.1.3.1. ADQUISICIÓN DE LICENCIA ..................................................................14
5.1.3.2. INSTALACIÓN O CAMBIO ......................................................................14
5.1.4. PLANTILLAS XML ............................................................................................16
5.2. GUÍA RÁPIDA ........................................................................................................18
5.3. ANÁLISIS Y GESTIÓN DE RIESGOS CUALITATIVO......................................24
5.3.1. CONTEXTO.........................................................................................................24
5.3.2. DOMINIOS DE SEGURIDAD............................................................................26
5.3.2.1. CREAR UN DOMINIO DE SEGURIDAD.................................................29
5.3.3. ANÁLISIS DE RIESGOS ....................................................................................29
5.3.3.1. IDENTIFICACIÓN DE ACTIVOS .............................................................29
5.3.3.1.1. CREAR UNA CAPA.............................................................................35
5.3.3.1.2. CREAR UN ACTIVO ...........................................................................36
5.3.3.1.3. CREAR UN GRUPO DE ACTIVOS....................................................38
5.3.3.1.4. GESTIÓN DE DOMINIOS DE SEGURIDAD ....................................39
5.3.3.1.4.1. CREAR UN DOMINIO DE SEGURIDAD...................................41
5.3.3.2. VALORACIÓN DE LOS DOMINIOS........................................................42
5.3.3.2.1. VALORACIÓN DE LA DIMENSIÓN DE UN DOMINIO.................44
5.3.3.3. VULNERABILIDAD DE LOS DOMINIOS...............................................46
5.3.3.4. AMENAZAS ................................................................................................48
5.3.3.5. SALVAGUARDAS......................................................................................50
5.3.3.5.1. GENERAR INFORME DE INSUFICIENCIAS...................................62
5.3.3.6. RIESGO........................................................................................................63
5.3.4. INFORMES ..........................................................................................................68
5.3.4.1. MODELO DE VALOR ................................................................................69
5.3.4.2. SALVAGUARDAS......................................................................................71
5.3.4.3. RIESGO........................................................................................................72
Centro Criptológico Nacional iii
SIN CLASIFICAR
SIN CLASIFICAR
5.3.4.3.1. GENERAR INFORME GRÁFICO.......................................................74

5.3.4.4. POR PATRÓN .............................................................................................77
5.3.4.4.1. PLANTILLA RTF.................................................................................77
5.3.4.5. [27002:2005] CÓDIGO DE BUENAS PRÁCTICAS PARA LA GESTIÓN
DE LA SEGURIDAD DE LA INFORMACIÓN...........................................................78
5.3.4.6. [RD 1720] PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL....88
5.4. GESTIÓN DEL PROYECTO ..................................................................................89
5.4.1. MODO TRABAJO ...............................................................................................89
5.4.1.1. ABRIR UN PROYECTO YA EXISTENTE................................................92
5.4.1.2. CREAR UN PROYECTO NUEVO .............................................................93
5.4.1.3. GUARDAR UN PROYECTO......................................................................93
5.4.2. MODO PRESENTACIÓN ...................................................................................94
ANEXO A. GLOSARIO .........................................................................................................95
Centro Criptológico Nacional iv

SIN CLASIFICAR
SIN CLASIFICAR
1. INTRODUCCIÓN
1. Evaluar el estado de seguridad de un sistema requiere un modelado del mismo,

identificando y valorando sus activos e identificando y valorando las amenazas que se
ciernen sobre ellos. De este modelado surge una estimación del riesgo potencial al que
está expuesto el sistema.
2. El riesgo sobre un sistema se ve atemperado por las salvaguardas o contramedidas que
hayamos dispuesto para su protección. Rara vez consiguen estas salvaguardas eliminar
completamente el riesgo; lo más habitual es que exista un cierto riesgo residual que la
organización puede o bien aceptar, o bien lanzar un plan de acción que incremente las
salvaguardas en número o eficacia hasta conseguir un riesgo residual asumible.
3. Las fases de análisis y tratamiento de los riesgos se suceden regularmente a lo largo de
la vida de un sistema para ir recogiendo nuevos activos, nuevas amenazas, nuevas
valoraciones, etc. Las herramientas PILAR Basic permiten instrumentar este modelado
en continua evolución.
4. PILAR Basic ofrece un conjunto de herramientas que permiten:
• Bien un análisis general, estudiando las diferentes dimensiones de seguridad
(confidencialidad, integridad, disponibilidad...).
• Bien un análisis de continuidad, centrándose en la disponibilidad del sistema de
información para atajar interrupciones de servicio ante incidencias o desastres.
5. En ambos casos se puede utilizar un enfoque cualitativo o cuantitativo.
1.1. EL MODELO
6. La herramienta sigue el modelo Magerit (Metodología de Análisis y Gestión de Riesgos

de los Sistemas de Información), creado por el Ministerio de Administraciones
Públicas. Esta metodología está disponible en http://www.csi.map.es/csi/pg5m20.htm.
2. REQUISITOS
7. Para el uso de PILAR Basic v4.3 su PC debe cumplir los siguientes requisitos mínimos:
• Microprocesador: Intel Pentium, AMD586 o similar
• Disco duro libre: 20Mb
• Memoria libre: 256Mb
• Máquina virtual de Java: versión 1.5.0 o superior
8. Cuanto mayor sea el número de activos de un proyecto en PILAR Basic, mayor número
de dependencias, amenazas, valoraciones, etc. existirán. Los requisitos mínimos
indicados anteriormente son para un proyecto de unos 30 activos. Si va a trabajar con
proyectos cuyo número de activos sea superior, se recomienda que disponga de más
memoria libre y mayor velocidad de microprocesador.
Centro Criptológico Nacional 5

SIN CLASIFICAR
SIN CLASIFICAR
3. INSTALACIÓN
9. PILAR Basic está desarrollado en Java, lo que le permite ser ejecutado en cualquier
sistema operativo que disponga de máquina virtual de Java (esto incluye Windows,
Linux, Unix, etc.).
Antes de instalar una nueva versión de PILAR…
Si va a utilizar una nueva versión de PILAR Basic con un proyecto (fichero

.mgr) creado con una versión anterior, cree una copia de dicho fichero para
trabajar con él en la nueva versión. Los proyectos creados o editados con una
versión de PILAR Basic más moderna no son compatibles con las versiones
antiguas.
Si ha realizado modificaciones en los ficheros de configuración de PILAR Basic,

guarde una copia de ellos antes de instalar la nueva versión puesto que durante la
actualización pueden ser sobrescritos y perdería los cambios que hubiera
realizado en los mismos.
3.1. JAVA
10. Para conocer si su equipo tiene instalada la máquina virtual de Java:

Para conocer si su equipo tiene instalada la máquina virtual de Java (JRE – Java
Runtime Environment) siga los siguientes pasos:
1. Visite www.java.com.
2. Pulse en el enlace “Verificar la instalación de Java” (este enlace puede
variar debido a que Java pertenece a una tercera empresa).
3. Siga las instrucciones hasta que le indiquen si tiene instalado Java y qué
versión tiene.
Si ejecuta PILAR sin tener instalada la máquina virtual de Java, recibirá el error
“Cannot find Java 1.5.0”.
11. Para instalar la máquina virtual de Java:

1. Visite www.java.com.
2. Pulse en el enlace “Descargar ahora” o “Descarga manual” (estos enlaces pueden
variar debido a que Java pertenece a una tercera empresa). Java es gratuito, por lo
que no tendrá que pagar nada.
3. Siga las instrucciones para descargar Java.
4. Una vez descargado el paquete de instalación de Java, ejecútelo para instalarlo.
5. Siga las instrucciones hasta que haya instalado Java.

SIN CLASIFICAR
SIN CLASIFICAR
3.2. WINDOWS
12. Antes de proceder a la instalación de PILAR Basic debe tener instalado Java. Una vez
lo tenga instalado, siga los siguientes pasos para instalarlo en Windows:
1. Ejecute el fichero de instalación pilarbasic_<version>_<lenguaje>.exe.
2. En la pantalla “Bienvenido a la instalación de PILAR”, una vez leído el mensaje,
pulse en “Siguiente”.
3. En la pantalla “Acuerdo de licencia”, una vez leído el mensaje, seleccione “Acepto
los términos del Acuerdo” si está conforme con la licencia y pulse en “Siguiente”.
4. En la pantalla “Información”, una vez leído el mensaje, pulse en “Siguiente”.
5. En la pantalla “Seleccione la Carpeta Destino” deberá seleccionar el directorio
donde desea que el programa PILAR Basic se copie para poder ser utilizado.
Se recomienda que el directorio de instalación no contenga el número de versión de
la aplicación, con el objeto de que si actualiza la aplicación en el futuro no haya una
discordancia entre la versión en uso y el nombre del directorio. Si desea tener
instaladas varias versiones de la aplicación sí deberá indicar la versión de la misma
en el nombre del directorio.
Si va a instalar varios idiomas, puede colocarlos todos en el mismo directorio.
Una vez seleccionado el directorio pulse en “Siguiente”.
6. En la pantalla “Seleccione la carpeta del Menú Inicio” indique el nombre de la
carpeta donde desea que se guarden los iconos de la aplicación.
Nuevamente se recomienda que dicho nombre no contenga la versión del programa,
a no ser que quiera disponer de varias versiones instaladas.
Si no desea crear una carpeta donde almacenar los iconos de la aplicación,
seleccione “No crear carpeta en el menú Inicio”.
Una vez indicada su preferencia pulse en “Siguiente”.
7. En la pantalla “Seleccione las Tareas Adicionales” puede marcar:
“Crea enlaces desde el desktop” si desea ubicar iconos en su escritorio para
ejecutar la aplicación.
“Crea enlaces desde el Quick Launch” si desea ubicar iconos en su barra de
tareas para ejecutar la aplicación.
Una vez indicadas sus preferencias pulse en “Siguiente”.
8. En la pantalla “Listo para Instalar” le aparecerá un resumen de las preferencias que
ha seleccionado durante los pasos previos a la instalación. Si no está conforme con
ellos pulse en “Atrás”. Si está conforme pulse “Instalar” y se procederá a la copia de
los ficheros de la aplicación.
9. En la pantalla “Información” se le darán instrucciones para copiar el fichero de
licencia. Para más información sobre la instalación de la licencia lea 5.1.3 Licencia.
Una vez leído el mensaje, pulse en “Siguiente”.
10. En la pantalla “Finalizando el asistente de instalación de PILAR Basic” pulse en
“Terminar”.
13. Una vez instalada la aplicación, el ejecutable para usar la aplicación, pilarbasic.exe,
será el mismo para todos los idiomas.

SIN CLASIFICAR
SIN CLASIFICAR
3.3. LINUX/UNIX
14. Antes de proceder a la instalación de PILAR Basic debe tener instalado Java.
15. Cuando Java esté instalado en el equipo donde va a utilizar PILAR Basic, descomprima
el fichero de instalación de PILAR pilarbasic_<version>_<idioma>.tar.gz en el
directorio donde luego desee ejecutar la aplicación.
16. Una vez descomprimidos los ficheros, el ejecutable para usar la aplicación,
pilarbasic.jar, será el mismo para todos los idiomas.
3.4. MAC OS X
41. Java ya se encuentra instalado en su sistema
42. Ejecute:
pilar_<version>_<idioma>.pkg
43. Cuando la instalación finalice, tendrá el fichero:
/Applications/pilar_es.app
44. Se trata de una aplicación autocontenida, por lo que puede colocarla en otro lugar
simplemente moviendo el directorio .app.
45. Si necesita un fichero .car, apunte al fichero .app (el fichero solicitado se encuentra
dentro, PILAR será capaz de cargarlo).
4. COMPATIBILIDAD ENTRE PILAR Y PILAR BASIC
46. La aplicación PILAR Basic dispone de las funcionalidades básicas para elaborar un
análisis de riesgos en una organización pequeña-mediana. Las organizaciones de mayor
tamaño presentan una complejidad mayor a la hora de analizar sus riesgos, por lo que
se les recomienda que usen la aplicación PILAR, que dispone de más herramientas para
gestionar dicha complejidad.
47. No obstante, los proyectos creados con PILAR y PILAR Basic son compatibles, esto
es, tanto una como otra pueden abrir los ficheros .mgr.
48. Sin embargo, debido a la diferencia en las funcionalidades que presenta PILAR Basic
en comparación con PILAR, si abre un proyecto creado con PILAR en PILAR Basic
puede obtener resultados diferentes por varios motivos que a continuación
explicaremos.
4.1.1. VALORACIÓN DE LOS DOMINIOS
49. PILAR tiene un total de 11 posibles valores para un dominio (de 0 a 10).
50. PILAR Basic tiene 4 posibles valores para un dominio (de Despreciable a Alto).

SIN CLASIFICAR
SIN CLASIFICAR
51. Por lo tanto, si carga un proyecto de PILAR en PILAR Basic el valor de los dominios
variará (por ejemplo PILAR Basic transformará un valor de 9 o 10 a Alto, perdiendo así
nivel de detalle), modificándose por lo tanto los resultados de nivel de riesgo.
52. Por lo tanto, si quiere mantener los valores de riesgo identificados con PILAR, no es
recomendable cargar un proyecto creado con PILAR en PILAR Basic.
4.1.2. AMENAZAS
53. PILAR permite que un usuario asigne las amenazas, su frecuencia de materialización y
el impacto que supondrían tanto de forma manual como automática (aplicando los
valores preestablecidos en la biblioteca de que dispone).
54. PILAR Basic asigna las amenazas, su frecuencia de materialización y el impacto que
supondrían de forma automática (aplicando los valores preestablecidos en la biblioteca
de que dispone).
55. Por lo tanto, si carga un proyecto de PILAR modelado con unas amenazas establecidas
manualmente por el usuario (sin utilizar las sugerencias de PILAR ni su biblioteca) en
PILAR Basic, las amenazas, frecuencia y materialización podrían cambiar,
modificándose por lo tanto los resultados de nivel de riesgo.
56. En ese caso, si quiere mantener los valores de riesgo identificados con PILAR, no es
4.1.3. SALVAGUARDAS, DOMINIOS Y FASES
57. PILAR permite que un usuario determine:

• Si una salvaguarda no evaluada debe ser considerada como “n.a.” o “L0”.
• Si la valoración de una salvaguarda en una fase anterior debe ser heredada en una
fase posterior o no.
• Si en un dominio inferior se debe heredar primero el valor de la salvaguarda del
dominio superior o de la fase anterior.
58. PILAR Basic no permite que el usuario determine ese modelado (viene prefijado).
59. Por lo tanto, si carga un proyecto de PILAR modelado de forma diferente a como está
modelado en PILAR Basic, los resultados de nivel de riesgo pueden ser diferentes.
60. En ese caso, si quiere mantener los valores de riesgo identificados con PILAR, no es

SIN CLASIFICAR
SIN CLASIFICAR
5. USO
17. Para ejecutar PILAR Basic:

• En Microsoft Windows:
a) A través del acceso directo: Vaya a Inicio Programas PILAR Basic
PILAR
b) Mediante la propia aplicación: Vaya al directorio donde instaló la aplicación
(habitualmente C:\ARCHIVOS DE PROGRAMA\PILAR\) y ejecute
pilarbasic.exe
• En Unix/Linux:
Vaya al directorio donde instaló la aplicación y ejecute pilarbasic.jar
61. Una vez ejecutada la aplicación, se le mostrará el aviso de licencia. Deberá aceptar la
licencia pulsando en “Aceptar”, si no la acepta pulse en “Cancelar” y no se cargará la
aplicación. Si no desea que en el futuro le aparezca de nuevo esta ventana, marque en
“No volver a mostrar este mensaje en el futuro” y pulse “Aceptar”.
18. Una vez aceptada la licencia, le aparecerá la Ventana de Selección. Esta pantalla está
dividida en las siguientes zonas:
1. Barra de funciones
A través de la barra de funciones puede acceder a:
• STIC_es: El nombre de este menú será el del fichero de configuración en uso.
o Configuración
Al pulsar la opción, se le abre la ventana para seleccionar el fichero de
configuración.
• Modo
o Presentación
SIN CLASIFICAR
SIN CLASIFICAR
En este modo puede abrir un proyecto ya creado (no puede modificar,

eliminar ni añadir datos ya introducidos). PILAR Basic no requiere el
uso de una licencia para trabajar en este modo.
Si selecciona esta opción, desaparecerá la casilla “Presentación” de la
Ventana de Selección (aparece en la captura de pantalla con el
identificador 2).
o Trabajo
En este modo puede abrir o crear proyectos y modificar, eliminar o
añadir datos en los mismos. PILAR requiere el uso de una licencia para
trabajar en este modo.
Si selecciona esta opción, le solicitará la licencia a utilizar.
• Licencia
o Seleccionar
Permite cargar la licencia a utilizar.
o Licencia comercial
Abre su navegador web por defecto y cargará la página web donde
puede solicitar la compra de la licencia.
o Licencia de evaluación
Permite generar una licencia de evaluación durante 30 días.
Si en la ventana que le aparecerá pulsa en “Sí”, generará y cargará dicha
licencia automáticamente.
2. Modo
Esta casilla muestra el modo en el que operará con la aplicación. Puede mostrar:
• Casilla de selección no marcada: Indica que la aplicación está en modo
“Trabajo”.
• Casilla de selección marcada: Indica que la aplicación está en modo
“Presentación”.
• No aparece la casilla de selección: Indica que la aplicación está en modo
“Presentación”.
3. Licencia
Muestra la licencia en uso. Puede mostrar:
• Sin licencia: Indica que no ha cargado ninguna licencia. Si cliquea dos veces
en “sin licencia”, le mostrará la ventana para cargar una.
• Licencia de evaluación: Indica que está utilizando la licencia de evaluación de
30 días.
• Licencia: Indica que está utilizando una licencia previamente adquirida.
• No aparece: Indica que está en modo Presentación.
4. Análisis y Gestión de Riesgos

El botón “Análisis cualitativo” permite comenzar a trabajar con un proyecto. Estando
en modo trabajo, si no ha seleccionado una licencia (adquirida o de evaluación), no
podrá pulsar sobre el botón.

SIN CLASIFICAR
SIN CLASIFICAR
5.1. FICHEROS
19. Existen funcionalidades en PILAR Basic que se configuran en ficheros que la
aplicación carga durante su arranque. En esta sección le explicamos dichos ficheros.
5.1.1. CONFIGURACIÓN
20. PILAR Basic trae un fichero de configuración por defecto que podrá encontrarlo en la
ruta donde instaló el programa, bajo el nombre BASIC_es.car.
21. Seleccione el fichero BASIC_es.car y pulse en “Abrir”.
22. Si más adelante desea modificar el fichero de configuración en uso podrá hacerlo
pulsando, desde la Ventana de Selección, en el primer menú que tendrá por nombre el
fichero de configuración (sin extensión) en uso.
23. Si PILAR Basic detecta varios ficheros .car, le solicitará automáticamente el fichero de
configuración a utilizar al arrancar la aplicación por primera vez.
24. Este fichero de configuración contiene información para la aplicación como nombres
de directorios (dónde se encuentran las bibliotecas, dónde almacena los informes
generados por defecto, etc.), el idioma en que mostrar los mensajes, etc.
5.1.2. BIBLIOTECA
25. PILAR Basic trae un fichero de biblioteca por defecto que podrá encontrarlo en la ruta
donde instaló el programa, dentro del subdirectorio \bib_es, bajo el nombre
std_es_[fecha].bgr.
26. Si PILAR Basic detecta un único fichero .bgr en la ruta donde el fichero de
configuración (.car) le indica que se encuentran las librerías (por defecto en \bib_es), no
le solicitará que seleccione el fichero de biblioteca a utilizar ya que cargará el único
existente.
27. En caso de existir varios ficheros .bgr en dicha ubicación, le solicitará que seleccione la
biblioteca a utilizar, seleccione por lo tanto el fichero (std_es_[fecha].bgr es el que trae
por defecto la aplicación) y pulse en “Abrir”.
28. La aplicación obtiene de la biblioteca:
• las clases de activos
• las dimensiones de valoración de activos
• los niveles cualitativos de valoración de activos
• las amenazas sobre los activos
• salvaguardas generales para un sistema
• elementos típicos para una normativa de seguridad
• procedimientos típicos para un sistema de información
29. La biblioteca también proporciona:

• criterios estándar de valoración de activos
• amenazas típicas por activo

SIN CLASIFICAR
SIN CLASIFICAR
• frecuencias típicas de materialización de las amenazas

• degradación típica de los activos causada por las amenazas
• calibración de la importancia de las salvaguardas, normas y procedimientos
y apoya al analista en la identificación de
• dependencias entre activos
• valoración de los activos
• identificación y calibración de las amenazas
• identificación de salvaguardas
30. La biblioteca puede completarse con extensiones:

• perfiles de seguridad
• perfiles de amenazas
• protecciones adicionales por activo
5.1.3. LICENCIA
31. La licencia es un fichero que contiene los datos del licenciado así como los niveles de
uso que puede hacer de la aplicación.
32. Si no dispone de una licencia:
Sólo podrá utilizar PILAR Basic para visualizar proyectos ya creados. No podrá
realizar ninguna modificación en ellos. Este modo se conoce como de
“presentación”.
33. Visualizar la licencia en uso:

En la Ventana de Selección del modo de uso de PILAR Basic podrá ver qué licencia
está utilizando en el apartado “licencia”.

SIN CLASIFICAR
SIN CLASIFICAR
Si la información sobre la licencia instalada muestra “no se encuentra una licencia

válida” significa que no tiene instalada ninguna licencia.
Si la aplicación no le muestra la información sobre la licencia es porque se encuentra
configurada en modo de Presentación.
5.1.3.1. ADQUISICIÓN DE LICENCIA
34. Debe adquirir una licencia acorde con la organización a la que pertenezca:
a) Si pertenece usted a una administración pública española

Esta aplicación es gratuita para administraciones públicas españolas.
Para solicitar una licencia gratuita para el uso completo de la aplicación debe enviar un
e-mail a ccn@cni.es indicando:
Organismo al que pertenece
Dirección del organismo
Nombre y apellidos del solicitante
Responsabilidad dentro del organismo
Teléfono de contacto
E-mail de contacto
b) Si no pertenece usted a una administración pública española

Debe adquirir una licencia.
Diríjase a www.ar-tools.com para adquirir una licencia para el uso de la aplicación.
También puede, pulsando en el menú Licencia Licencia comercial desde la

Ventana de Selección de la aplicación, acceder a la página web para la solicitud de una
licencia comercial.
5.1.3.2. INSTALACIÓN O CAMBIO
35. Previa a la instalación o cambio de la licencia, se recomienda que copie el fichero de

licencia en la ruta donde instaló PILAR Basic dentro del subdirectorio \lics. A
continuación deberá instalarla en la aplicación.
36. Si lo que desea es cambiar la licencia, consulte la sección b) de este apartado.
a) Estando en modo Presentación

Seleccione el menú Modo, y a continuación pulse Trabajo.
Se le abrirá una ventana para seleccionar el fichero de licencia. Dicha ventana

mostrará los ficheros .lic existentes en el subdirectorio \lics donde instaló la
aplicación. Deberá seleccionar su fichero de licencia y pulsar en “Abrir”.

SIN CLASIFICAR
SIN CLASIFICAR
La aplicación, ya con la licencia cargada, volverá a la Ventana de Selección del tipo de

proyecto.
Para comprobar si la licencia se ha instalado correctamente, observe el apartado

“licencia”:
b) Estando en modo Trabajo

Si no tiene una licencia instalada previamente, cliquee dos veces en el mensaje “sin
licencia”.

SIN CLASIFICAR
SIN CLASIFICAR
Se le abrirá una ventana para seleccionar el fichero de licencia. Dicha ventana

mostrará los ficheros .lic existentes en el subdirectorio \lics donde instaló la
aplicación. Deberá seleccionar su fichero de licencia y pulsar en “Abrir”.
La aplicación, ya con la licencia cargada, volverá a la Ventana de Selección del tipo de

proyecto.
Si ya tiene instalada una licencia y desea cambiarla, puede realizar los pasos
indicados anteriormente y seleccionar un nuevo fichero de licencia, o pulsar en el
menú Licencia Seleccione. Se le abrirá una ventana para seleccionar el fichero de
licencia. Dicha ventana mostrará los ficheros .lic existentes en el subdirectorio \lics
donde instaló la aplicación. Deberá seleccionar su fichero de licencia y pulsar en
“Abrir”.
5.1.4. PLANTILLAS XML
37. PILAR Basic dispone de un fichero en formato XML con las plantillas de donde carga
información al crear un nuevo proyecto.
38. Dicho fichero se encuentra en el directorio \bib_es, bajo el nombre info_es.info. El
esquema de dicho fichero es:
Contenido general del fichero Explicación

<info> Comienzo de los datos de información.
<model> Comienzo de los datos de información sobre
el proyecto. Son los datos que se pedirán
automáticamente como información de un
nuevo proyecto.
<key c="desc">descripción</key> Cada entrada aparecerá en la columna
SIN CLASIFICAR
SIN CLASIFICAR

<key c="resp">responsable</key> “Dato”.
<key c="org">organización</key> Puede añadir nuevas entradas, poniéndoles
<key c="ver">versión</key>
<key c="date">fecha</key> una clave (key) única.
</model> Fin de los datos de información sobre el
proyecto.
<asset> Comienzo de los datos de información sobre
los activos.
<key c="desc">descripción</key> Cada entrada aparecerá en la columna “Dato”
<key c="resp">responsable</key> de todos los activos que cree (sean de la clase
que sean).
Puede añadir nuevas entradas, poniéndoles
una clave (key) única.
</asset> Fin de los datos de información sobre los
activos.
<asset family="D"> Comienzo de los datos de información sobre
los activos de clase “Datos” (identificados
con el código “D”).
<key c="owner">propietario</key> Cada entrada aparecerá en la columna “Dato”
de todos los activos que cree de la clase
“Datos”.
Puede añadir nuevas entradas, poniéndoles
una clave (key) única.
</asset> Fin de los datos de información sobre los
<asset family="HW, COM, SI, AUX"> activos de clase “Datos” y definición del
<key
c="location">ubicación</key> resto de datos de información específicos
</asset> para activos de otras clases.
<asset family="HW, COM, SI, AUX,
L, P">
<key c="number">cantidad</key>
</asset>
</info> Fin de los datos de información.
<assets> Comienzo de la organización de activos. Es
la organización que se creará
automáticamente cuando cargue las capas
estándar.
<layer c="B">Capa de Crea la capa de Negocio (identificada con el
negocio</layer> código “B”).
<layer c="E">Equipamiento Crea la capa de Equipamiento (identificada
<group con el código “E”). Dentro de esta capa crea
c="SW">Aplicaciones</group>
<group c="HW">Equipos</group> el grupo de activos de Aplicaciones
<group (identificado con el código “SW”), Equipos
c="COM">Comunicaciones</group> (con código “HW”), etc.
<group c="AUX">Elementos
auxiliares</group>
</layer>
<layer c="L">Instalaciones</layer> Termina de crear capas.
<layer c="P">Personal</layer> Fin de la organización de activos.
</assets>

SIN CLASIFICAR
SIN CLASIFICAR
5.2. GUÍA RÁPIDA
39. Esta sección del manual le explica qué pasos básicos debe llevar a cabo para comenzar
a utilizar la aplicación rápidamente. Si desea profundizar sobre algún paso, o su
proyecto es más complejo, pulse en el enlace disponible en cada paso para obtener más
información.
Diferencia entre y
PILAR Basic trabaja con los datos en memoria. Cada vez que termine de realizar
cambios en una ventana y desee actualizar los datos en la memoria (no puede
deshacer después los cambios), debe pulsar . Al pulsar dicho botón se cerrará
la ventana.
Si pulsa en la ventana de gestión del proyecto, también se guardarán los datos

en el fichero .MGR.
Si desea guardar los datos del estado actual del proyecto en disco (puede
deshacer después los cambios si la pantalla dispone de botón ), actualizando o
creando así el fichero .MGR, debe pulsar .
40. Para llevar a cabo un análisis de riesgos cualitativo debe realizar, básicamente, los
siguientes pasos:
1. En la pantalla de arranque de la aplicación, pulse en Licencia Seleccionar.
Seleccione el fichero .LIC que contiene su licencia del programa y pulse “Aceptar”.
2. Pulse ahora en “Análisis cualitativo” bajo “Análisis y Gestión de Riesgos”.
CREAR UN PROYECTO NUEVO

3. En la nueva ventana de gestión de proyectos, pulse en Proyecto Nuevo.
4. Se le abrirá una nueva ventana para los datos del proyecto. Introduzca un “Código”
sencillo para el proyecto y un “Nombre” descriptivo. Pulse en para aceptar y
guardar los cambios.
CREAR LOS ACTIVOS

5. De vuelta a la ventana anterior, pulse en “Identificación de activos”.
6. En la nueva ventana de activos, Pulse en Capas Capas estándar.
7. Seleccione “[B] Capa de negocio” y pulse Activos Nuevo activo Nuevo
activo.
8. Introduzca un “Código” sencillo para el activo (será un servicio que preste la
organización) y un “Nombre” descriptivo. En la zona derecha despliegue la clase de
activo “[S] Servicios” y marque lo que corresponda al servicio que está creando.
Pulse para aceptar y guardar los cambios. Repita este paso tantas veces como
servicios tenga.
9. De vuelta a la ventana anterior, seleccione “[SW] Aplicaciones” y pulse Activos
Nuevo activo Nuevo activo.

SIN CLASIFICAR
SIN CLASIFICAR
10. Introduzca un “Código” sencillo para el activo (englobará una aplicación y la

correspondiente base de datos que se utilice para prestar alguno de los anteriores
servicios creados) y un “Nombre” descriptivo. En la zona derecha despliegue la
clase de activo “[SW] Aplicaciones (software)” y marque lo que corresponda al
software que está creando. Despliegue ahora “[D] Datos / Información” y marque lo
que corresponda a la base de datos que está creando. Pulse para aceptar y guardar
los cambios.
11. Aparecerá una ventana emergente, pulse “Dentro”. Repita estos tres últimos pasos
tantas veces como aplicaciones junto con bases de datos tenga.
12. Seleccione “[HW] Equipos” y pulse Activos Nuevo activo Nuevo activo.
13. Introduzca un “Código” sencillo para el activo (englobará un servidor y el
correspondiente sistema operativo que se utilice para soportar alguna de las
anteriores aplicaciones y bases de datos creados) y un “Nombre” descriptivo. En la
zona derecha despliegue la clase de activo “[SW] Aplicaciones (software) [std]
estándar (off the shelf) [os] sistema operativo” y marque lo que corresponda al
sistema operativo que está creando. Despliegue ahora “[HW] Equipamiento
informático (hardware)” y marque lo que corresponda al servidor que está creando.
Pulse para aceptar y guardar los cambios.
14. En la ventana emergente pulse “Dentro”. Repita estos tres últimos pasos tantas veces
como servidores junto con sistemas operativos tenga.
15. Seleccione “[COM] Comunicaciones” y pulse Activos Nuevo activo Nuevo
activo.
16. Introduzca un “Código” sencillo para el activo (englobará todos los elementos de red
que se utilicen para soportar alguno de los anteriores servidores y sistemas
operativos creados) y un “Nombre” descriptivo. En la zona derecha despliegue la
clase de activo “[HW] Equipamiento informático (hardware) [network] soporte
de la red” y marque lo que corresponda a la red local que está creando. Despliegue
ahora “[COM] Redes de comunicaciones” y marque lo que corresponda a las
comunicaciones que está creando. Pulse para aceptar y guardar los cambios.
17. En la ventana emergente pulse “Dentro”.
18. Seleccione “[L] Instalaciones” y pulse Activos Nuevo activo Nuevo activo.
19. Introduzca un “Código” sencillo para el activo (será la oficina donde se encuentren
los sistemas de información creados) y un “Nombre” descriptivo. En la zona derecha
despliegue la clase de activo “[L] Instalaciones” y marque lo que corresponda a la
oficina que está creando. Pulse para aceptar y guardar los cambios.
20. Seleccione “[P] Personal” y pulse Activos Nuevo activo Nuevo activo.
21. Introduzca un “Código” sencillo para el activo (englobará los administradores y
desarrolladores que mantengan o desarrollen los sistemas de información creados) y
un “Nombre” descriptivo. En la zona derecha despliegue la clase de activo “[P]
Personal” y marque lo que corresponda a los administradores y desarrolladores que
está creando. Pulse para aceptar y guardar los cambios.
22. En la ventana de activos, pulse para aceptar y guardar los activos introducidos.
GUARDAR EL PROYECTO
23. En la ventana de gestión del proyecto, pulse en para guardar el proyecto.
24. Le solicitará una ruta donde guardar el proyecto y un nombre de fichero (le añadirá
automáticamente la extensión .mgr).
VALORAR EL DOMINIO

SIN CLASIFICAR
SIN CLASIFICAR
25. Pulse en “Valoración de los dominios”.

26. En la fila donde aparece el dominio “[base] Base”, pulse, con el botón derecho, en la
casilla vacía bajo la columna “[D]” (Disponibilidad).
27. En la nueva ventana que se ha abierto deberá indicar la repercusión que tendría en la
organización el hecho de que se dejara de prestar el servicio. Si ha definido varios
servicios, deberá reflejar aquel servicio que, en caso de que dejara de prestarse,
provocaría una mayor repercusión. Despliegue los niveles y seleccione el más
apropiado (puede seleccionar varios). Después pulse el botón “Aplicar”.
28. De vuelta a la anterior ventana, y siguiendo en la misma fila, pulse con el botón
derecho en la casilla vacía bajo la columna “[I]” (Integridad).
organización el hecho de que la información que se maneja para prestar el servicio
fuera incorrecta o incompleta. Si ha definido varios servicios, deberá reflejar aquel
servicio que, en caso de que la información que se maneja para prestar dicho
servicio fuera incorrecta o incompleta, provocaría una mayor repercusión.
Despliegue los niveles y seleccione el más apropiado (puede seleccionar varios).
Después pulse el botón “Aplicar”.
derecho, en la casilla vacía bajo la columna “[C]” (Confidencialidad).
organización el hecho de que la información que se maneja para prestar el servicio
fuera accedida por personas no autorizadas. Si ha definido varios servicios, deberá
reflejar aquel servicio que, en caso de que la información que se maneja para prestar
dicho servicio fuera accedida por personas no autorizadas, provocaría una mayor
repercusión. Despliegue los niveles y seleccione el más apropiado (puede
seleccionar varios). Después pulse el botón “Aplicar”.
derecho, en la casilla vacía bajo la columna “[A]” (Autenticidad).
organización el hecho de que no se pudiera confirmar la identidad de quien accedió
al servicio o a la información. Si ha definido varios servicios/datos, deberá reflejar
aquel servicio/dato que, en caso de que no se pudiera confirmar la identidad de quien
accedió al mismo, provocaría una mayor repercusión. Despliegue los niveles y
seleccione el más apropiado (puede seleccionar varios). Después pulse el botón
“Aplicar”.
derecho, en la casilla vacía bajo la columna “[T]” (Trazabilidad).
organización el hecho de que no se pudiera conocer a quién se le presta un servicio o
a qué información y cuándo accedió un usuario. Si ha definido varios
servicios/datos, deberá reflejar aquel servicio/dato que, en caso de que no se pudiera
conocer quién/cómo/cuándo lo hizo, provocaría una mayor repercusión. Despliegue
los niveles y seleccione el más apropiado (puede seleccionar varios). Después pulse
el botón “Aplicar”.
36. Pulse para aceptar y guardar las valoraciones introducidas.
VULNERABILIDAD DEL DOMINIO

38. Pulse en “Vulnerabilidad de los dominios”.
39. En la nueva ventana, seleccione, en el panel izquierdo, el dominio “[base] Base”.
SIN CLASIFICAR
SIN CLASIFICAR
40. En el panel derecho despliegue el primer criterio, “[101] Identificación del

atacante”.
41. Seleccione quién podría atacar a los servicios que ha definido y pulse el botón
“Aplicar”. Verá como aparece dicho atacante bajo el dominio.
42. Repita el paso anterior para cada uno de los potenciales atacantes del servicio o
servicios.
43. A continuación repita los pasos desplegando cada uno de los siguientes criterios y
vaya seleccionando y aplicando todo aquello que se pueda dar en su caso.
44. Una vez aplicados todos los criterios que le sean de aplicación, pulse para aceptar
y guardar los datos.
EVALUAR EL NIVEL DE MADUREZ DE LAS SALVAGUARDAS

46. Pulse en “Salvaguardas”.
47. Introduzca en la casilla en la esquina inferior izquierda un nivel 6 (de despliegue de
salvaguardas) y pulse la tecla Enter. Ahora verá todas las salvaguardas desplegadas.
48. Ahora debe valorar el nivel de madurez de las salvaguardas. Valorar salvaguardas en
cuya fila no tengan un valor para la columna “Recomendación” no tendrán efecto en
el nivel de riesgo, por lo que no es necesario que las valore. Puede valorar las
salvaguardas con mayor o menor nivel de detalle según el método que lleve a cabo:
a) Nivel de detalle máximo: Lleve a cabo los pasos 49 y 50.
b) Nivel de detalle medio: Lleve a cabo el paso 51.
c) Nivel de detalle bajo: Lleve a cabo el paso 52.
49. Busque la primera salvaguarda en cuya fila tenga un valor de recomendación y, en la
casilla vacía para la columna “current”, pulse con el botón derecho del ratón. Le
aparecerá un desplegable del que deberá seleccionar:
Valor seleccionable Valor Significado

(nivel de madurez) mostrado
No es aplicable n.a. La salvaguarda no tiene sentido en el
sistema.
¿…? ? Desconoce cuál es el nivel de madurez,
pero va a consultarlo y a introducirlo más
tarde.
[Vacío] Desconoce cuál es el nivel de madurez, y
no va a consultarlo porque no es
relevante.
0 - Inexistente L0 Procedimiento: No se realiza.
Elemento: No se tiene.
Documento: No se tiene.
1 - Inicial / ad hoc L1 Procedimiento: Se está empezando a
hacer, o sólo lo hacen algunas personas.
Elemento: Se tiene, pero no se usa apenas.
Documento: Se está preparando su
elaboración.
2 - Reproducible, L2 Procedimiento: Todos lo hacen igual,
pero intuitivo pero no está documentado.
Elemento: Se tiene, pero se está
terminando de afinar.

SIN CLASIFICAR
SIN CLASIFICAR

(nivel de madurez) mostrado
Documento: Se está elaborando.
3 - Proceso definido L3 Procedimiento: Todos lo hacen igual y
está documentado.
Elemento: Se tiene y funciona
correctamente.
Documento: Se tiene.
4 - Gestionado y L4 Procedimiento / Elemento / Documento:
medible Se obtienen indicadores.
5 - Optimizado L5 Procedimiento / Elemento / Documento:
Se revisa el mismo y los indicadores, se
proponen mejoras y se aplican.
50. Repita el paso anterior para cada una de las salvaguardas que aparecen a
continuación (no necesita valorar los grupos de salvaguardas, ya que tomarán el
valor automáticamente en función del valor de las salvaguardas a las que engloban).
51. Si lo que desea es realizar un análisis de riesgos menos concienzudo, puede valorar
las salvaguardas con menos nivel de detalle. Esto se consigue valorando los grupos
de salvaguardas en vez de las salvaguardas. Para ello seleccione arriba
“SALVAGUARDAS” y luego introduzca en la casilla en la esquina inferior
izquierda un nivel 4 (de despliegue de salvaguardas) y pulse la tecla Enter. A
continuación deberá valorar las salvaguardas y grupos de salvaguardas que le
aparecen conforme a lo indicado en el paso 49.
52. Si lo que desea es realizar un análisis de riesgos conforme a las salvaguardas más
importantes para su sistema de información, puede valorar las salvaguardas con
mayor nivel de recomendación. Para ello pulse el botón “Sugiere”, y le aparecerá
una nueva zona inferior donde se listarán las salvaguardas ordenadas de más a
menos recomendada. Deberá ir seleccionando (en la zona inferior) una a una dichas
salvaguardas de arriba a abajo. Cuando seleccione una, se le mostrará, en la zona
superior, la salvaguarda resaltada para que proceda a valorarla conforme a lo
indicado en el paso 49. Deberá hacer esto con todas las salvaguardas que le
aparezcan en la zona inferior hasta que vea que la salvaguarda recomendada tiene un
valor de recomendación muy pequeño para lo que usted considere importante para
su sistema de información.
53. Una vez valoradas las salvaguardas, pulse para aceptar y guardar los datos.
VISUALIZAR EL NIVEL DE RIESGO POTENCIAL

55. Pulse en “Riesgo”.
56. En la pestaña “Potencial” podrá ver el riesgo potencial, es decir, el riesgo intrínseco
para cada activo.
57. Debajo de “ACTIVOS” podrá ver las capas de activos que ha creado,
desplegándolas verá los activos que hay en cada capa.
58. En las columnas “[D]” (Disponibilidad), “[I]” (Integridad), “[C]”
(Confidencialidad), “[A]” (Autenticidad), y “[T]” (Trazabilidad) podrá ver el riesgo
potencial para cada activo.
59. Los niveles de riesgo posibles y su significado son los siguientes:
{5} o más: Crítico
{4}: Muy alto
SIN CLASIFICAR
SIN CLASIFICAR
{3}: Alto
{2}: Medio
{1}: Bajo
{0}: Despreciable
60. Si quiere conocer qué nivel de riesgo provoca cada amenaza, despliegue el activo y
verá las distintas amenazas que afectan al activo (precedidas por el icono ).
VISUALIZAR EL NIVEL DE RIESGO ACTUAL

61. Para ver el riesgo actual, es decir, teniendo en cuenta el nivel de madurez de las
salvaguardas actualmente implantadas, pulse en la pestaña “Current”.
GESTIONAR EL RIESGO Y VER EL RIESGO PLANIFICADO

62. Si el nivel de riesgo de un activo es superior al aceptable y decide reducir dicho
riesgo aplicando salvaguardas (o mejorando el nivel de madurez de las mismas),
pulse en la pestaña “Target”. En esta pestaña se muestra el nivel de riesgo
planificado, es decir, el riesgo residual que quedará una vez que aplique o mejore
salvaguardas.
63. Marque la casilla a la izquierda del activo al que quiere reducir su riesgo.
64. Pulse el botón “Gestiona”.
65. Se le abrirá la ventana de salvaguardas, pero en esta ocasión sólo se mostrarán
niveles de recomendación en aquellas salvaguardas que permitan reducir el riesgo
del activo previamente seleccionado.
66. Pulse el botón “Sugiere”, y le aparecerá una nueva zona inferior donde se listarán las
salvaguardas ordenadas de más a menos recomendada. Seleccione (en la zona
inferior) la primera. Se le mostrará, en la zona superior, la salvaguarda resaltada para
que proceda a valorarla (el nivel de madurez planificado debería ser mayor que el
actual, pero alcanzable) en la columna “target” (no modifique los valores de la
columna “current”) conforme a lo indicado en el paso 49.
67. Una vez valorada, pulse en . Volverá a la ventana de riesgos. Observe si el riesgo
del activo se ha reducido en alguna de las dimensiones.
68. Ahora se pueden dar tres casos:
a) Si ha logrado reducir el riesgo al nivel deseado, desmarque el activo actual,
y, si tiene algún otro activo cuyo riesgo quiere reducir, continúe por el punto
63.
b) Si no ha logrado reducir el riesgo al nivel deseado, vuelva al paso 64. Si
quiere puede definir el nivel de madurez planificado de otra salvaguarda o
aumentar el nivel de madurez planificado para la última salvaguarda que
definió.
c) Si ya no tiene más riesgos que gestionar, continúe por el paso 69.
69. Ha terminado con la gestión de riesgos, ya sabe lo que debe hacer para reducir el
riesgo de los activos en el futuro.

SIN CLASIFICAR
SIN CLASIFICAR
5.3.ANÁLISIS Y GESTIÓN DE RIESGOS CUALITATIVO
41. Una vez que haya pulsado en la Ventana de Selección el botón “Análisis cualitativo”,
se le mostrará la ventana de Gestión del Proyecto.
42. Las funciones de que dispone en este Panel de Control son:
• Contexto
Desde este menú puede introducir y consultar los datos generales del proyecto.
• Dominios de seguridad
Desde este menú puede crear y gestionar dominios de seguridad.
• Análisis de riesgos
Desde este menú puede introducir y consultar los activos y las amenazas y ver
el estado del riesgo.
• Informes
Desde este menú puede generar informes basados en los datos introducidos.
5.3.1. CONTEXTO
43. Aquí puede definir los datos del proyecto.

44. Esta pantalla está dividida en las siguientes zonas:

SIN CLASIFICAR
SIN CLASIFICAR
1. Biblioteca
Muestra la biblioteca que utilizará el proyecto, que se selecciona al cargar el módulo
de Análisis de Riesgos. Para un proyecto ya creado no se puede modificar la biblioteca
a utilizar.
2. Código
Introduzca en este campo un código breve y descriptivo del proyecto. Este campo es
obligatorio.
La aplicación, en las distintas ventanas e informes, mostrará el código del proyecto
poniéndolo siempre entre corchetes. Ejemplo:
Código introducido: AR_Empresa
Código que mostrará la aplicación: [AR_Empresa]
3. Nombre
Introduzca en este campo el nombre del proyecto.
Ejemplo: AR de los servicios telemáticos
4. Otros datos
Puede introducir, a modo de tabla, cuantos datos considere pertinentes almacenar
sobre el proyecto. La tabla consta de dos columnas (el tipo de dato y el valor del
mismo) y un número ilimitado de filas. Los valores pueden repetirse si así se desea.
Se recomienda mantener, como mínimo, los siguientes datos (completados a modo de

ejemplo):
Dato Valor
Descripción Análisis de riesgos de la plataforma de servicios
telemáticos
Responsable Fulanito Pérez Martín
Organización Sólidos, S.A.
Versión 0.01
Fecha 28-11-2007
5. Barra de acciones
En la parte superior de esta zona puede acceder a las siguientes funciones:
• Arriba o Abajo
Pulse en la fila que quiera mover y, a continuación, pulse en los botones para
cambiar el orden de las filas.
• Nueva
Al pulsar el botón añade una nueva fila vacía (no contendrá ni dato ni valor).
• Eliminar
Pulse en la fila que quiera borrar y, a continuación, pulse el botón.
• Estándar
Al pulsar el botón crea las filas con los datos recomendados por la biblioteca en
uso y los valores vacíos.
• Limpiar
Al pulsar el botón elimina todas las filas que no contengan un valor.
En la parte inferior de esta zona puede acceder a las siguientes funciones:

SIN CLASIFICAR
SIN CLASIFICAR
• Descripción
Al pulsar el botón abre un cuadro en el que podrá redactar una descripción amplia
del proyecto. Soporta escribir varias líneas. Una vez introducida la descripción
pulse en “Aceptar” para guardar los cambios o “Cancelar” para descartarlos.
• Guarda y cierra ( )
Guarda los cambios realizados y cierra la ventana.
• Cancela y cierra ( )
Descarta los cambios realizados y cierra la ventana.
• Ayuda ( )
Muestra la ayuda contextual.
Una vez rellenados todos los datos, pulse en el botón “Guarda los datos y cierra”.
5.3.2. DOMINIOS DE SEGURIDAD
45. Esta ventana permite gestionar los dominios de seguridad que se utilizarán para definir
el nivel de protección de los activos.
46. A continuación explicamos el concepto de dominio con un caso de ejemplo. En una
organización, un mismo tipo de activo (por ejemplo un servidor) puede tener o no
implantada una salvaguarda (por ejemplo un SAI) según la ubicación donde se
encuentre (por ejemplo en la sede principal los servidores tienen SAI pero en las
oficinas remotas no).
47. Para poder recoger esa casuística a la hora de valorar el nivel de implantación de las
salvaguardas, es necesario que los activos que están en entornos muy diferentes (y que
ello redunde en niveles de implantación de salvaguardas distintos) se engloben en
dominios distintos.
48. Más adelante, las salvaguardas se valorarán según el dominio al que nos refiramos, con
ello dichas salvaguardas se aplicarán a los activos en dicho dominio.
49. Es normal que al comienzo de un proyecto de análisis se desconozca si es necesario o
no crear distintos dominios, pero estos se pueden crear en cualquier momento del
proyecto, al igual que cambiar a los activos de dominio.
50. Los activos siempre tienen que pertenecer a un dominio, al igual que tienen que
pertenecer a una capa. Todos los activos pertenecen al dominio por defecto “Base”, a
no ser que se especifique lo contrario al crearlos.
51. Los dominios siguen un esquema jerárquico, por lo que todos los dominios que se creen
son hijos del dominio “Base”, o hijos de otro dominio que también es hijo del dominio
“Base”. Los dominios muestran la ruta de jerarquía, así un nuevo dominio “Oficina”
que dependa del dominio “Base” aparecerá como “Base.Oficina”.
52. Gracias a este esquema jerárquico, al valorar las salvaguardas, los dominios hijo
pueden heredar la valoración de los dominios padre. Al valorar las salvaguardas de los
dominios hijo sólo será necesario reflejar aquellas salvaguardas cuya valoración sea
distinta en el dominio hijo que en el dominio padre.

SIN CLASIFICAR
SIN CLASIFICAR
Uso de los dominios cuando hay dos entornos muy distintos
Si dispone de dos entornos con medidas de seguridad muy dispares, valorar las
salvaguardas para el dominio base y luego valorarlas de forma diferente para el
dominio hijo puede provocar algún efecto no deseado si olvida valorar alguna
salvaguarda.
En este caso recomendamos crear dos dominios hijo de Base, por ejemplo
Base.Entorno1 y Base.Entorno2. Luego, no valore ninguna salvaguarda en el
dominio Base y valórelas sólo en Entorno1 y Entorno2, de ese modo evitará que
hereden por error alguna valoración.
1. Barra de herramientas
A través de la barra de herramientas puede acceder a las funciones:
• Editar
Edita los datos del dominio previamente seleccionado. Una vez pulsado el
botón, le aparecerán las mismas opciones que al crear un nuevo dominio.
• Nuevo
Permite crear un nuevo dominio de seguridad (para ello deberá tener
seleccionado primero el dominio padre). Después de pulsar el botón, se le
abrirá la ventana donde introducir los datos del dominio.
• Subir
Sube el dominio seleccionado. Se utiliza para cambiar el orden de dominios
hijo.
• Bajar
Baja el dominio seleccionado. Se utiliza para cambiar el orden de dominios
hijo.
• Mover a la izquierda (reducir el sangrado)

SIN CLASIFICAR
SIN CLASIFICAR
Mueve a la izquierda el dominio seleccionado. Se utiliza para convertir un

dominio hijo en padre.
• Mover a la derecha (sangrar)

Mueve a la derecha el dominio seleccionado. Se utiliza para convertir un
dominio padre en hijo.
• Eliminar
Elimina el dominio seleccionado. El dominio [base] no puede eliminarse.
Antes de eliminar el dominio, le aparecerá una ventana que le solicitará:
o Activos:
Traslada al siguiente [dominio_padre]: A todos los activos que
hubiera en este dominio los pasa al dominio padre.
Eliminar: Borrar todos los activos que hubiera en este dominio.
o Salvaguardas:
Traslada al siguiente [dominio_padre]: Las salvaguardas que
hubiera valorado en este dominio, las traslada al dominio padre.
Eliminar: Borra todas las valoraciones de las salvaguardas en
dicho dominio.
Una vez haya seleccionado lo que desee realizar, pulse en “Aceptar” para
aplicarlo o “Cancelar” para no hacer nada.
2. Panel de control de dominios

Desde este panel puede visualizar todos los dominios de seguridad que haya creado.
Se utiliza este panel para seleccionar los dominios, una vez seleccionado puede
cambiarlos de orden o, si pulsa el botón “Suprimir” del teclado, podrá borrarlo.
Si cliquea dos veces sobre un dominio:
o Con hijos: Contrae (oculta los hijos) o despliega (muestra los hijos) el
dominio.
o Sin hijos: Edita el dominio.
En la barra de acciones encontrará botones que le permitirán:
• Ayuda ( )

SIN CLASIFICAR
SIN CLASIFICAR
5.3.2.1. CREAR UN DOMINIO DE SEGURIDAD
54. Esta ventana permite definir los datos de un dominio de seguridad. Está dividida en las
siguientes zonas:
1. Código
Código que le asignará al dominio. Por ejemplo: suc.
2. Nombre
Nombre del dominio. Por ejemplo: Sucursal.
3. Descripción
Descripción del dominio. Por ejemplo: Entorno de seguridad existente en las
sucursales (diferente del existente en la sede central).
Una vez que haya terminado de introducir los datos puede pulsar sobre el botón:
Guarda los datos y cierra la ventana.
• Ayuda ( )
Descarta los datos introducidos y cierra la ventana.
5.3.3. ANÁLISIS DE RIESGOS
55. Este menú contiene las siguientes opciones relacionadas con el análisis de riesgos:
• Identificación de activos
• Valoración
• Vulnerabilidad de los dominios
• Amenazas
• Salvaguardas
• Riesgo
5.3.3.1. IDENTIFICACIÓN DE ACTIVOS
56. Una vez pulsada la opción de identificación de activos, le aparecerá la pantalla de

Gestión de Activos donde podrá introducir todos los elementos que componen el
inventario de activos.

SIN CLASIFICAR
SIN CLASIFICAR
• Capas
o Capas estándar
Genera automáticamente las capas y grupos de activos que existen, por
lo general, en cualquier inventario de activos para ahorrarle tiempo al
usuario.
o Nueva capa
Permite crear una capa. Puede ver un ejemplo de capa en la captura de
pantalla con el indicador número 6.
o Editar la capa
Permite modificar los datos de la capa seleccionada.
Se le abrirá la misma ventana que al crear una Nueva capa, pero con los
datos ya cargados de la capa a modificar.
o Eliminar la capa
Borra la capa seleccionada y los activos que hubiera dentro de ella.
• Activos
o Nuevo activo
Nuevo activo
Permite crear un activo. Puede ver un ejemplo de activo en la
captura de pantalla con el indicador número 7.

SIN CLASIFICAR
SIN CLASIFICAR
Una vez introducidos los datos del activo, éste se ubicará

dependiendo de que el elemento que tuviera seleccionado fuera:
- Un grupo de activos: Le preguntará si quiere ubicar el nuevo
activo encima, dentro o debajo del grupo de activos.
- Un activo: Se ubicará debajo del activo.
- Una capa: Se ubicará dentro de la capa.
Nuevo grupo de activos

Permite crear un grupo de activos (la ventana que abre es la
misma que al crear un activo). Puede ver un ejemplo de grupo
de activos en la captura de pantalla con el indicador número 8.
Una vez introducidos los datos del grupo de activos, éste se
ubicará dependiendo de que el elemento que tuviera
seleccionado fuera:
- Un grupo de activos: Le preguntará si quiere ubicar el nuevo
activo encima, dentro o debajo del grupo de activos.
- Un activo: Se ubicará debajo del activo.
- Una capa: Se ubicará dentro de la capa.
Duplicar el activo
Duplica el activo seleccionado (incluyendo dependencias,
amenazas, etc.). Se abrirá la ventana de edición de activos para
que pueda realizar cualquier cambio al nuevo activo. Deberá
cambiar obligatoriamente el código del activo.
o Editar
Abre la ventana de edición del activo o grupo de activos, igual que
cuando crea un activo.
o Descripción
Al pulsar el botón abre un cuadro en el que podrá redactar una
descripción amplia del activo o grupo de activos (es la misma
descripción a la que puede acceder pulsando el botón “Descripción”
cuando edita un activo). Soporta escribir varias líneas. Una vez
introducida la descripción pulse en “Aceptar” para guardar los cambios
o “Cancelar” para descartarlos.
o Dominio de seguridad
Muestra el árbol de los dominios existentes y permite seleccionar el
dominio al que quiere que pertenezca el activo.
Una vez seleccionado el dominio pulse en “Aceptar” para guardar los
cambios o “Cancelar” para descartarlos.
o Activo/Grupo
Que sea grupo
Convierte un activo en un grupo de activos. Todos los datos del
activo (código, descripción, fuente de información, clase de
activo…) se mantienen.
Que no sea grupo

SIN CLASIFICAR
SIN CLASIFICAR
Convierte un grupo de activos en un activo. Si el grupo de

activos tiene hijos (activos o grupos de activos), no puede
convertirse en un activo.
o Eliminar
Eliminar los hijos
Elimina los hijos (activos o grupos de activos) del grupo de
activos y convierte así al grupo de activos en un activo.
Eliminar el activo
Elimina el activo.
o Tiene amenazas
Sí
Hace que al activo se le apliquen amenazas.
No
Hace que al activo no se le apliquen amenazas. Esto se traduce
en que:
- No se puede ver el activo en la pantalla “Amenazas”.
- Si el activo tenía asociadas amenazas no las pierde (si se
vuelve a poner en “On” las recupera).
- La valoración del activo sigue afectando a los demás.
- El activo no sufre riesgo, por lo que aparece sin riesgo en
la pantalla Riesgo.
- Aquellos activos cuyo riesgo se viera influido por este
activo, dejan de verse influidos ya que este activo no tiene
riesgo.
Los activos en “No” se identifican con el texto “/sin amenazas”
a continuación del nombre.
o Visible
Visible
Hace que al activo se vea en las pantallas.
Invisible
No provoca ningún cambio en el análisis de riesgos (no se pierde
ningún dato del activo), pero hace que al activo no se vea en
ninguna pantalla (a excepción de en esta pantalla).
Los activos en “Invisible” se identifican con el texto “/invisible”
a continuación del nombre.
o Existe
Existe
Es el estado natural de un activo, se puede ver en cualquier
pantalla y tiene amenazas.
No existe
No se ve en el resto de pantallas ni tiene riesgo porque no le
afectan las amenazas.
SIN CLASIFICAR
SIN CLASIFICAR
Los activos en “No existe” se identifican con el texto “/no

existe” a continuación del nombre.
• Dominios
o Editar
Abre la ventana de Gestión de dominios de seguridad para crear, editar
y borrar dominios.
• Estadísticas
o Por capas
Muestra el número total de activos existentes en cada capa, indicando
subtotales según la clase de los activos.
o Por dominios
Muestra el número total de activos existentes en cada dominio,
indicando subtotales según la clase de los activos.
2. Panel de control
Desde este panel puede visualizar todas las capas, grupos de activos y activos que
haya creado.
Si deja el puntero del ratón sobre un activo, le aparecerá un pop-up con la información
básica del activo: clases y dominio.
Si selecciona un elemento y pulsa en el teclado Borrar, se eliminará el activo y, si

tiene, sus hijos.
Le aparecerán las siguientes opciones si pulsa con el botón derecho del ratón sobre:
• Una capa:
o Nueva capa
o Editar la capa
o Eliminar la capa
o Nuevo activo
o Nuevo grupo de activos
• Un activo o grupo de activos:

o Nuevo activo:
Nuevo activo
Nuevo grupo de activos
Duplicar el activo
o Editar
o Descripción
o Dominio de seguridad
o Fuentes de información
o Activo/grupo:
Que sea grupo
Que no sea grupo
o Eliminar:
Eliminar los hijos
SIN CLASIFICAR
SIN CLASIFICAR
Eliminar el activo
o Tiene amenazas:
Sí
No
o Visible:
Visible
Invisible
o Existe:
Existe
No existe
Puede buscar activos pulsando las teclas Control + F. Si la sentencia buscada se repite,
puede pulsar Enter después de la primera localización de la sentencia para pasar a la
siguiente.
En la parte izquierda de esta zona puede acceder a las siguientes funciones:
• Sólo capas
Al pulsar este botón, se contraerán los activos a nivel 1 (en el que sólo se
mostrarían las capas si tiene seleccionado “ACTIVOS”). El botón referido
tiene en la captura de pantalla el indicador número 5.
• Niveles
Muestra el nivel en el que se están mostrando los activos. Si introduce un valor
y pulsa Enter aplicará dicho nivel al elemento seleccionado. El valor referido
tiene en la captura de pantalla el indicador número 4.
Pulsando los botones “+” o “-”, aumenta o disminuye el nivel de los activos (o
grupos de activos) seleccionados a mostrar (los expande o contrae).
Los niveles posibles son (si tiene seleccionado “ACTIVOS”):
o Nivel 1: Muestra las capas.
o Nivel 2: Muestra los activos o grupos de activos dentro de las capas.
o Nivel 2+n: Conforme va aumentando el nivel, va mostrando
jerárquicamente los activos y grupos de activos que existan.
• Dominio
Al pulsar este botón se mostrarán los dominios definidos. Al seleccionar uno
de los dominios, se desplegarán los activos y se seleccionarán aquellos que
pertenezcan al dominio seleccionado.
En la parte derecha de esta zona puede acceder directamente a las siguientes

funciones:
• CSV
Exporta el código y nombre de los activos seleccionados (siguiendo el orden en
el que haya seleccionado los activos) a un fichero del tipo CSV. Si desea
exportar todos los activos, seleccione “ACTIVOS” (en el nivel 0).
Al pulsar este botón, le solicitará el fichero y la ruta donde exportar los datos.
Pulse el botón “Guardar” para crear el fichero CSV o “Cancelar” para no crear
el fichero.

SIN CLASIFICAR
SIN CLASIFICAR
• Guarda los datos ( )

Guarda los activos en el fichero.
• Guarda los datos y cierra ( )

Aplica los cambios realizados y cierra la ventana.
• Ayuda ( )
5.3.3.1.1. CREAR UNA CAPA
58. Las capas se utilizan para organizar los activos en función de la familia a la que
pertenezcan, no tienen mayor valor ni afectan al análisis en ninguna medida, pero no
puede crear un activo fuera de una capa.
59. Las capas se identifican con el icono .
60. Al crear una nueva capa, o editar una existente, se le abrirá automáticamente la ventana
de Capa para poder definir los siguientes datos:
1. Código
Introduzca en este campo un código breve y descriptivo de la capa. Este campo es
obligatorio.
2. Nombre
Introduzca en este campo el nombre de la capa.
Ejemplos:
Código Nombre
S Servicios
E Equipamiento
L Instalaciones
P Personas
3. Descripción
Puede redactar una descripción amplia de la capa. Soporta escribir varias líneas.

SIN CLASIFICAR
SIN CLASIFICAR
• Ayuda ( )
5.3.3.1.2. CREAR UN ACTIVO
61. Se considera un activo todo aquello que tenga un valor para la organización y se
encuentre relacionado con el entorno tecnológico que se esté analizando. Los activos
sólo se pueden crear dentro de una capa, por lo que si no ha creado previamente
ninguna capa no podrá crear ningún activo.
62. Al crear un nuevo activo, o editar uno existente, se le abrirá automáticamente la

ventana de Activo para poder definir los siguientes datos:
1. Código
Introduzca en este campo un código breve y descriptivo del activo. Se recomienda que
el principio del código haga referencia la clase de activo (hardware, software, etc.).
Este campo es obligatorio.
El código es único, por lo que ningún otro activo del proyecto podrá tener dicho
código.
2. Nombre
Introduzca en este campo el nombre del activo.
3. Clase de activo

SIN CLASIFICAR
SIN CLASIFICAR
Permite seleccionar de qué clase de activo se trata (marcando o desmarcando la casilla

a la izquierda de la clase). Todas las clases de activo tienen un código, que aparece
entre corchetes. Las clases se pueden desplegar para seleccionar con mayor nivel de
detalle la clase a la que pertenece el activo.
Un mismo activo, debido a su naturaleza, puede estar asociado a varias clases al

mismo tiempo.
Los activos con clases virtuales (cuyo código es [null]) pueden ser utilizados a título
informativo ya que no les aplican los riesgos.
Si pulsa con el botón derecho sobre una clase y selecciona “Más información”, le
mostrará información.
Las clases de activos se obtienen de la biblioteca que ha cargado.
Dado que el tipo de amenazas que afectan a los activos dependen de la clase de activo
del que se trate, se recomienda que seleccione, como mínimo, una de las clases que se
muestran. De no hacerlo así, la aplicación no contemplará ninguna amenaza para el
activo.
4. Otros datos
Puede introducir, a modo de tabla, cuantos datos considere pertinentes almacenar
sobre el activo. La tabla consta de dos columnas (el tipo de dato y el valor del mismo)
y un número ilimitado de filas. Los valores pueden repetirse si así se desea.
Se recomienda mantener, como mínimo, los siguientes datos (completados a modo de

ejemplo):
Dato Valor
Descripción Servidor web
Responsable Fulanito Pérez Martín – Dpto. Sistemas
Ubicación Oficina principal
5. Para trabajar con dichos datos debe utilizar los botones:

• Arriba o Abajo
Pulse en la fila que quiera mover y, a continuación, pulse en los botones para
cambiar el orden de las filas.
• Nueva
Al pulsar el botón añade una nueva fila vacía (no contendrá ni dato ni valor).
• Eliminar
Pulse en la fila que quiera borrar y, a continuación, pulse el botón.
• Estándar
Al pulsar el botón crea las filas con los datos recomendados, para la clase de
activo marcado, por la biblioteca en uso y los valores vacíos.
• Limpiar
Al pulsar el botón elimina todas las filas que no contengan un valor.
6. Dominio
Muestra el dominio al que está asociado el activo.

SIN CLASIFICAR
SIN CLASIFICAR
Al pulsar el botón aparece un menú desplegable del que seleccionar el dominio en el

que se encuentra el activo.
Un activo no puede pertenecer a más de un dominio, y no puede pertenecer a ningún

dominio.
7. En la barra de acciones encontrará botones que le permitirán:

• Descripción
Al pulsar el botón abre un cuadro en el que podrá redactar una descripción amplia
del activo. Soporta escribir varias líneas. Una vez introducida la descripción pulse
en “Aceptar” para guardar los cambios o “Cancelar” para descartarlos.
• Ayuda ( )
5.3.3.1.3. CREAR UN GRUPO DE ACTIVOS
63. Los grupos de activos se utilizan para:

1. Organizar los activos dentro de una capa.
2. Definir características comunes a todos los activos dentro del grupo. A
continuación explicamos el comportamiento de PILAR Basic en función de la
característica que se le defina al grupo de activos:
2.1. Clase del grupo de activos: Las clases que marque para el grupo de activos las
heredarán automáticamente todos los activos dentro del grupo, con independencia
de que dichos activos hubieran sido creados dentro del grupo o movidos dentro
del grupo. Los activos hijos reflejarán las clases heredadas resaltándolas en azul
claro. Si quiere que un activo dentro del grupo no herede alguna clase, tendrá que
sacar dicho activo del grupo.
64. Los grupos de activos sólo se pueden crear dentro de una capa, por lo que si no ha
creado previamente ninguna capa no podrá crear ningún grupo de activos. Dentro de un
grupo de activos puede crear activos o grupos de activos.
65. Los grupos de activos se identifican con el icono .
66. Al crear un nuevo grupo de activos, o editar uno existente, se le abrirá automáticamente
la ventana de crear un activo para poder definir los mismos datos que si de un activo se
tratara. No obstante, un grupo de activos ni se puede valorar ni le aplican amenazas, por
lo que nunca tendrá un riesgo.

SIN CLASIFICAR
SIN CLASIFICAR
5.3.3.1.4. GESTIÓN DE DOMINIOS DE SEGURIDAD
41. Esta ventana permite gestionar los dominios de seguridad que se utilizarán para
definir el nivel de protección de los activos.
42. A continuación explicamos el concepto de dominio con un caso de ejemplo. En
una organización, un mismo tipo de activo (por ejemplo un servidor) puede tener o
no implantada una salvaguarda (por ejemplo un SAI) según la ubicación donde se
encuentre (por ejemplo en la sede principal los servidores tienen SAI pero en las
oficinas remotas no).
43. Para poder recoger esa casuística a la hora de valorar el nivel de implantación de
las salvaguardas, es necesario que los activos que están en entornos muy diferentes
(y que ello redunde en niveles de implantación de salvaguardas distintos) se
engloben en dominios distintos.
44. Más adelante, las salvaguardas se valorarán según el dominio al que nos refiramos,
con ello dichas salvaguardas se aplicarán a los activos en dicho dominio.
45. Es normal que al comienzo de un proyecto de análisis se desconozca si es
necesario o no crear distintos dominios, pero estos se pueden crear en cualquier
momento del proyecto, al igual que cambiar a los activos de dominio.
46. Los activos siempre tienen que pertenecer a un dominio, al igual que tienen que
pertenecer a una capa. Todos los activos pertenecen al dominio por defecto “Base”,
a no ser que se especifique lo contrario al crearlos.
47. Los dominios siguen un esquema jerárquico, por lo que todos los dominios que se
creen son hijos del dominio “Base”, o hijos de otro dominio que también es hijo
del dominio “Base”. Los dominios muestran la ruta de jerarquía, así un nuevo
dominio “Oficina” que dependa del dominio “Base” aparecerá como
“Base.Oficina”.
48. Gracias a este esquema jerárquico, al valorar las salvaguardas, los dominios hijo
pueden heredar la valoración de los dominios padre. Al valorar las salvaguardas de
los dominios hijo sólo será necesario reflejar aquellas salvaguardas cuya
valoración sea distinta en el dominio hijo que en el dominio padre.
Uso de los dominios cuando hay dos entornos muy distintos
Si dispone de dos entornos con medidas de seguridad muy dispares, valorar las
salvaguardas para el dominio base y luego valorarlas de forma diferente para el
dominio hijo puede provocar algún efecto no deseado si olvida valorar alguna
salvaguarda.
En este caso recomendamos crear dos dominios hijo de Base, por ejemplo
Base.Entorno1 y Base.Entorno2. Luego, no valore ninguna salvaguarda en el
dominio Base y valórelas sólo en Entorno1 y Entorno2, de ese modo evitará que
hereden por error alguna valoración.

SIN CLASIFICAR
SIN CLASIFICAR
• Editar
Edita los datos del dominio previamente seleccionado. Una vez pulsado el
botón, le aparecerán las mismas opciones que al crear un nuevo dominio.
• Nuevo
Permite crear un nuevo dominio de seguridad (para ello deberá tener
seleccionado primero el dominio padre). Después de pulsar el botón, se le
abrirá la ventana donde introducir los datos del dominio.
• Subir
Sube el dominio seleccionado. Se utiliza para cambiar el orden de dominios
hijo.
• Bajar
Baja el dominio seleccionado. Se utiliza para cambiar el orden de dominios
hijo.
• Mover a la izquierda (reducir el sangrado)

Mueve a la izquierda el dominio seleccionado. Se utiliza para convertir un
dominio hijo en padre.
• Mover a la derecha (sangrar)

Mueve a la derecha el dominio seleccionado. Se utiliza para convertir un
dominio padre en hijo.
• Eliminar
Elimina el dominio seleccionado. El dominio [base] no puede eliminarse.
Antes de eliminar el dominio, le aparecerá una ventana que le solicitará:
o Activos:
Traslada al siguiente [dominio_padre]: A todos los activos que
hubiera en este dominio los pasa al dominio padre.
Eliminar: Borrar todos los activos que hubiera en este dominio.

SIN CLASIFICAR
SIN CLASIFICAR
o Salvaguardas:
Traslada al siguiente [dominio_padre]: Las salvaguardas que
hubiera valorado en este dominio, las traslada al dominio padre.
Eliminar: Borra todas las valoraciones de las salvaguardas en
dicho dominio.
Una vez haya seleccionado lo que desee realizar, pulse en “Aceptar” para
aplicarlo o “Cancelar” para no hacer nada.
2. Panel de control de dominios

Desde este panel puede visualizar todos los dominios de seguridad que haya creado.
Se utiliza este panel para seleccionar los dominios, una vez seleccionado puede
cambiarlos de orden o, si pulsa el botón “Suprimir” del teclado, podrá borrarlo.
Si cliquea dos veces sobre un dominio:
o Con hijos: Contrae (oculta los hijos) o despliega (muestra los hijos) el
dominio.
o Sin hijos: Edita el dominio.
• Ayuda ( )
5.3.3.1.4.1. CREAR UN DOMINIO DE SEGURIDAD
50. Esta ventana permite definir los datos de un dominio de seguridad. Está dividida en
las siguientes zonas:
1. Código
Código que le asignará al dominio. Por ejemplo: suc.
2. Nombre
Nombre del dominio. Por ejemplo: Sucursal.
3. Descripción
Descripción del dominio. Por ejemplo: Entorno de seguridad existente en las
sucursales (diferente del existente en la sede central).

SIN CLASIFICAR
SIN CLASIFICAR
Una vez que haya terminado de introducir los datos puede pulsar sobre el botón:
Guarda los datos y cierra la ventana.
• Ayuda ( )
Descarta los datos introducidos y cierra la ventana.
5.3.3.2. VALORACIÓN DE LOS DOMINIOS
67. Los activos son importantes para una organización y, por lo tanto, tienen un valor.
68. En PILAR Basic todos los activos que se encuentren dentro de un mismo dominio de
seguridad tienen el mismo valor, por lo que si dispone de activos que tienen diferente
valor tendrá que ubicarlos en dominios distintos.
69. Una vez pulsada la opción de valoración, le aparecerá la pantalla de Gestión de
Valoración de los Dominios donde podrá definir el valor de los activos dentro de cada
dominio.
70. El valor acumulado de un dominio es el que adquiere dicho dominio debido a los
dominios que dependen de él (hijos). Por lo tanto, bastará con que valore los dominios
de nivel superior (padres), ya que los dominios hijo heredarán automáticamente su
valoración, a no ser que los dominios inferiores tengan un valor superior que el
dominio padre.
• Editar
o Copiar
Una vez haya seleccionado una o varias valoraciones, las copia en el
portapapeles. Las teclas de acceso directo a esta opción son Control +
C.
o Pegar
SIN CLASIFICAR
SIN CLASIFICAR
Pega la valoración o valoraciones que tuviera en el portapapeles en la

casilla que tenga seleccionada. Si copió una sola casilla y selecciona
varias casillas, al pegar pondrá el valor de la casilla copiada en todas las
que tuviera seleccionadas. Las teclas de acceso directo a esta opción son
Control + V.
• Exportar
o …a CSV
Exporta los códigos de valoración (tal y como puede verlo en la
pantalla) a formato CSV.
o …a XML
Exporta los códigos de valoración (junto con los criterios de dicha
valoración y sus comentarios) a formato XML.
• Importar
o …de XML
Genera automáticamente las capas y grupos de activos que existen, por
lo general, en cualquier inventario de activos para ahorrarle tiempo al
usuario.
Antes de editar un fichero XML exportado con PILAR Basic…
Si va editar un fichero XML exportado con PILAR Basic, asegúrese de que su

editor entiende el formato en el que está el fichero (UTF-8).
En caso de que su editor guarde el XML con otro juego de caracteres, la

importación en PILAR Basic dará problemas.
2. Panel de control
Está dividido en columnas:
• Dominio: Muestra todos los dominios que haya creado.
• Dimensiones a valorar:
o [D]: Muestra la valoración de la Disponibilidad.
o [I]: Muestra la valoración de la Integridad.
o [C]: Muestra la valoración de la Confidencialidad.
o [A]: Muestra la valoración de la Autenticidad de los usuarios y la
información.
o [T]: Muestra la valoración de la Trazabilidad del servicio y de los datos.
Para valorar un dominio en una dimensión, cliquee dos veces (o pulse con el botón
derecho del ratón) sobre la casilla donde se crucen la fila del dominio con la columna
de la dimensión. Se le abrirá la ventana de valoración de la dimensión del dominio.
Para seleccionar una valoración, pulse con el botón izquierdo del ratón una vez sobre
la valoración (la casilla donde se cruza el activo con la dimensión) que le interesa.
Puede seleccionar varias valoraciones, seleccionando la primera y, manteniendo la
tecla Mayúsculas del teclado, seleccionando la última (que puede estar en cualquier
fila o columna).
SIN CLASIFICAR
SIN CLASIFICAR
Puede borrar las valoraciones que tenga seleccionadas pulsando el botón del teclado
Suprimir.
• Copiar
Al pulsar este botón se guarda en el portapapeles las valoraciones que tenga
seleccionadas. Las teclas de acceso directo a esta opción son Control + C.
• Pegar
Al pulsar este botón se pegarán las valoraciones que tuviera copiadas en la
casilla de valoración que tenga seleccionada. Las teclas de acceso directo a esta
opción son Control + V.

funciones:
Guarda las valoraciones en el fichero.

• Ayuda ( )
5.3.3.2.1. VALORACIÓN DE LA DIMENSIÓN DE UN DOMINIO
72. Esta ventana permite definir el valor en una dimensión de un dominio.

SIN CLASIFICAR
SIN CLASIFICAR
1. Título
Permite conocer el dominio y la dimensión se está valorando (muestra el código y el
nombre de la dimensión).
2. Comentario
Permite introducir un comentario sobre la valoración.
3. Criterio de valoración
Puede valorar los dominios en cada dimensión en base a dos criterios:
- El valor de los activos del dominio (seleccionando alto, medio, bajo o
despreciable).
- Según la degradación que tendría en la organización su merma (desplegando
el alto, medio, bajo o despreciable y seleccionando uno de los criterios).
Cada valor tiene un código, que se muestra entre corchetes.
Puede marcar cuantos valores desee, pero luego en los cálculos se tendrá en cuenta
sólo el superior.
Una vez que haya terminado de marcar los valores puede pulsar sobre el botón:
• Aplicar
Guarda los valores seleccionados y cierra la ventana.

SIN CLASIFICAR
SIN CLASIFICAR
Le aparecerá una nueva ventana de Log que le informará a qué nivel

correspondería la valoración que le ha asignado en PILAR.
• No se valora
Borra todos los valores seleccionados y cierra la ventana.
• Cancelar
5.3.3.3. VULNERABILIDAD DE LOS DOMINIOS
74. Los activos, por su propia naturaleza, se ven influidos por una serie de amenazas. La
probabilidad de que se materialice una de dichas amenazas y la degradación que le
supone a un activo es lo que conocemos como vulnerabilidad.
75. Para facilitar la tarea de definir la vulnerabilidad de los activos, PILAR Basic ha
sustituido, de cara al usuario, los valores de probabilidad y degradación por una serie de
criterios. Estos criterios permiten al usuario reflejar el entorno en el que se encuentran
los activos, de donde se deducen sus vulnerabilidades.
76. No obstante, PILAR Basic, en base a la clase de los activos, es capaz de aplicar los
valores habituales de probabilidad y degradación, por lo que si lo desea puede no
realizar ninguna acción en esta pantalla y dejarla vacía.
77. Una vez pulsada la opción de “Vulnerabilidad de los dominios”, le aparecerá la pantalla
de Gestión de Vulnerabilidades donde podrá definir qué criterios pueden influir sobre
un dominio (y por lo tanto sobre todos los activos que se encuentren en dicho dominio).
1. Barra de herramientas de los dominios

A través de la barra de herramientas puede acceder a la función:
• Criterios

SIN CLASIFICAR
SIN CLASIFICAR
Una vez seleccionado un dominio, al pulsar dicho botón se seleccionarán, del

Panel de Control de Criterios, los criterios que se apliquen a dicho dominio.
2. Panel de control de los dominios

Desde este panel pueden visualizar todos los dominios que haya creado. Se utiliza este
panel para seleccionar los dominios a los que queremos asociar criterios.
Los criterios se muestran con el icono .
3. Barra de herramientas de los criterios

• Niveles
Muestra el nivel en el que se están mostrando los criterios.
Pulsando los botones “+” o “-”, despliega o contrae los grupos de criterios. Si
selecciona un grupo de criterios, sólo se desplegará dicho grupo.
Si selecciona uno o varios criterios y pulsa en este botón, se le seleccionarán
aquellos dominios donde se estén aplicando dicho/s criterio/s.
4. Panel de control de los criterios

Desde este panel puede visualizar todos los grupos de criterios y criterios existentes en
la librería, que se identifican con un código de criterio entre corchetes.
Se utiliza este panel para seleccionar los criterios que queremos asociar a los
dominios, ya que les aplican.
En la parte central de esta zona puede acceder a las siguientes funciones:
• Aplicar
Al pulsar este botón, se asocia un criterio (seleccionado en el panel de control
de criterios) a un dominio (seleccionado en el panel de control de dominios).
Puede seleccionar:
• Un dominio o criterio: Marcándolo con el botón izquierdo del ratón.
• Varios dominios o criterios: Marcando con el botón izquierdo del ratón
el primero y, manteniendo pulsado en el teclado Control, marcando los
demás uno a uno.
• Eliminar
Teniendo seleccionado un criterio bajo un dominio (en el panel de control de
dominios), al pulsar este botón se elimina dicha asociación.
Se produce el mismo efecto si selecciona uno o varios criterios (en el panel de
control de criterios), uno o varios dominios (en el panel de control de
dominios) y pulsa “Eliminar”.

SIN CLASIFICAR
SIN CLASIFICAR

funciones:
Guarda las amenazas aplicadas en el fichero.

• Ayuda ( )
5.3.3.4. AMENAZAS
79. Los activos se ven influidos por las amenazas. Una vez pulsada la opción de Amenazas,
le aparecerá la pantalla de Gestión de Amenazas donde podrá definir qué amenazas
pueden influir sobre un dominio (y por lo tanto sobre todos los activos que se
encuentren en dicho dominio).

SIN CLASIFICAR
SIN CLASIFICAR
1. Barra de herramientas de los activos

• Niveles
y pulsa Enter aplicará dicho nivel al elemento seleccionado.
• +1
Si selecciona esta casilla, se mostrarán las amenazas de los activos (o grupos de
activos) seleccionados. Utilice esta casilla habiendo desplegado los activos
cuyas amenazas quiera ver mediante el indicador de nivel a su izquierda (no
habiendo desplegado los activos cliqueando directamente en los activos).
• Amenazas
Si selecciona un activo (o grupo de activos) del panel de control de padres y
pulsa en este botón, se le seleccionarán aquellas amenazas del panel de control
de amenazas que le afectarían (las que ya ha configurado previamente el
usuario).
Otra forma de conocer las amenazas de un activo es desplegando dicho activo
como puede ver en la captura de pantalla, las amenazas aparecen precedidas
del icono .
2. Panel de control de activos

haya creado, así como las amenazas que les son de aplicación.
Las amenazas se muestran con el icono . Si pulsa con el botón derecho del ratón
sobre una amenaza, se le abrirá la ventana de Comentario. En dicha ventana podrá
introducir un comentario sobre la amenaza que le ha asociado al activo. Si pulsa con el
botón derecho del ratón sobre el texto del comentario se le mostrarán las siguientes
opciones:
o Cortar: Corta el texto previamente seleccionado.
o Copiar: Copia el texto previamente seleccionado.
o Pegar: Pega el texto que hubiera en el portapapeles.
o Ir a…: Si se pulsa sobre un enlace (por ejemplo,
“http://intranet/manual.doc” o “file:///C:/manuales/manual.doc”), cargará
dicho enlace.
Una vez introducido pulse “Aceptar” para guardar los cambios y cerrar la ventana, o
“Cancelar” para cerrar la ventana sin guardar los cambios.
Las amenazas que tienen un comentario se muestran sombreadas en verde.
Puede buscar activos pulsando las teclas Control + F.

SIN CLASIFICAR
SIN CLASIFICAR
3. Barra de herramientas de las amenazas

• Niveles
Muestra el nivel en el que se están mostrando las amenazas.
Pulsando los botones “+” o “-”, muestra las clases de amenazas (nivel 1) o las
clases con sus amenazas (nivel 2).
• Activos
Si selecciona una o varias amenazas y pulsa en este botón, se le seleccionarán
aquellos activos a los que afecte esta amenaza.
4. Panel de control de amenazas

Desde este panel puede visualizar todas las clases de amenazas (en función del origen
de la amenaza) y amenazas existentes en la librería. Las clases de amenazas y
amenazas se identifican con un código de amenaza entre corchetes.
Si pulsa con el botón derecho sobre una amenaza y selecciona “Más información”, le
mostrará la ayuda con información sobre:
• La clase de activo al que afecta esta amenaza.
• La dimensión en la que afecta esta amenaza.
• Una descripción de esta amenaza.
funciones:
• Ayuda ( )
5.3.3.5. SALVAGUARDAS
81. Una vez pulsada la opción de Salvaguardas, le aparecerá la pantalla de Gestión de

Salvaguardas donde podrá determinar qué salvaguardas existen y su grado de
implantación.

SIN CLASIFICAR
SIN CLASIFICAR
• Editar
o Copiar
Una vez haya seleccionado una o varias valoraciones, las copia en el
portapapeles. Las teclas de acceso directo a esta opción son Control +
C.
o Pegar
Pega la valoración o valoraciones que tuviera en el portapapeles en la
casilla que tenga seleccionada. Si copió una sola casilla y selecciona
varias casillas, al pegar pondrá el valor de la casilla copiada en todas las
que tuviera seleccionadas. Las teclas de acceso directo a esta opción son
Control + V.
o Buscar
Abre una ventana para introducir un texto a buscar entre las
salvaguardas. Una vez encontrado, si pulsa el Enter buscará la siguiente
coincidencia.

SIN CLASIFICAR
SIN CLASIFICAR
• Exportar
o …a CSV
Exporta la valoración que ve en pantalla a un fichero en formato CSV.
Al pulsar esta opción, le solicitará el fichero y la ruta donde exportar los
datos. Pulse el botón “Guardar” para crear el fichero CSV o “Cancelar”
para no crear el fichero.
La exportación contendrá los siguientes datos del dominio que está
visualizando:
- El código de la salvaguarda (es un valor que no puede ver en
PILAR Basic).
- El nombre de la salvaguarda.
- El aspecto en el que protege la salvaguarda.
- La valoración de la salvaguarda en cada fase.
o …a XML
Exporta la valoración a un fichero en formato XML.
datos. Pulse el botón “Guardar” para crear el fichero XML o “Cancelar”
La exportación contendrá los siguientes datos de cada dominio:
- El código de la salvaguarda (es un valor que no puede ver en
PILAR Basic).
- El nombre de la salvaguarda.
- La valoración de la salvaguarda en cada fase.
o Informe
Genera un fichero RTF o HTML con el listado de todas las
salvaguardas, indicando su valoración.
Al pulsar esta opción se abre la ventana para generar un informe de
salvaguardas.
o <Lx
Genera un fichero RTF o HTML con el listado de todas las
salvaguardas que no alcanzan el nivel de implantación mínimo
aprobado por la organización.
Al pulsar esta opción se abre la ventana para generar un informe de
insuficiencias.
• Importar
o …de CSV
Importa la valoración de las salvaguardas desde un fichero CSV. Al
pulsar esta opción se abre la ventana para que seleccione el fichero CSV
desde el que realizar la importación de los datos. Pulse el botón “Abrir”
para cargar el fichero CSV o “Cancelar” para no cargar el fichero.
o …de XML
Importa la valoración de las salvaguardas desde un fichero XML. Al
pulsar esta opción se abre la ventana para que seleccione el fichero
XML desde el que realizar la importación de los datos. Pulse el botón
SIN CLASIFICAR
SIN CLASIFICAR
“Abrir” para cargar el fichero XML o “Cancelar” para no cargar el

fichero.
• Estadísticas
o Por dominios
Muestra, en forma de tabla según dominios y familias de salvaguardas,
el número de valoraciones que ha realizado. Puede tener tantas
valoraciones como salvaguardas x fases tenga. No se cuentan las
valoraciones heredadas de un dominio padre a otro hijo.
2. Dominio
Muestra el código y nombre del dominio cuya valoración de salvaguardas está
visualizando.
Si desea cambiar de dominio, pulse sobre el nombre del dominio, a continuación se le
abrirá una ventana que le permitirá seleccionar, del árbol de dominios, aquel dominio
cuya valoración de salvaguardas quiera ver. Una vez seleccionado pulse “Aceptar”
para cerrar la ventana tras seleccionar el dominio deseado, o “Cancelar” para no
cambiar de dominio.
3. Panel de control
• Aspecto: Indica el aspecto de seguridad en el que protege la salvaguarda. El
aspecto de la salvaguarda está relacionado con la clase de los activos cuyas
amenazas mitigará.
Los valores posibles son:
o G: Gestión.
o T: Técnico.
o P: Personal.
o F: Seguridad física.
Se trata de un valor informativo (no se puede editar).
• Estrategia: Indica la estrategia que adopta la salvaguarda ante los incidentes

para mitigar las amenazas.
o RI: Reduce o limita el impacto de las amenazas.
o RF: Reduce la frecuencia en que se materializan las amenazas.
o M: Mixta (RI + RF).
o D: Detecta el incidente para provocar una rápida reacción.
o R: Medida de recuperación tras incidentes.
Se trata de un valor informativo (no se puede editar).
• Salvaguarda: Muestra la salvaguarda o grupo de salvaguardas. Si no puede ver

el nombre completo de una salvaguarda (porque es muy largo), pulse con el
botón derecho sobre ella y seleccione “Camino completo”.
Las salvaguardas y los grupos de salvaguardas están identificadas por un icono
en forma de paraguas y un subíndice. Los colores y valores subíndice de los
paraguas informan de la importancia relativa (dentro del conjunto de
salvaguardas en el que se encuentre) de la salvaguarda, que puede ser:
SIN CLASIFICAR
SIN CLASIFICAR
o : Interesante.
o : Importante. Tiene un peso mayor que una salvaguarda gris.
o : Muy importante. Tiene un peso mayor que una salvaguarda verde.
o : Crítica. Tiene un peso mayor que una salvaguarda amarilla.
El peso de las salvaguardas los aplica PILAR a la hora de calcular:

o El impacto y riesgo residuales.
o El valor de la recomendación.
Si desea realizar una evaluación somera de las salvaguardas, puede utilizar el

filtrado del nivel de uso (que puede configurar en la barra de acciones de esta
ventana). No es adecuado, para realizar una evaluación somera, evaluar
únicamente las salvaguardas de nivel 3 (rojo), o de cualquier otro nivel, ya que
su importancia es relativa y produciría unos resultados irreales.
A continuación del paraguas, cada salvaguarda está identificada por un código

entre corchetes, seguido del nombre de la salvaguarda (o grupo de salvaguardas).
Las salvaguardas están agrupadas para, además de facilitar su comprensión y

valoración, indicar qué salvaguardas de un tipo debería disponer la organización.
Así, los grupos de salvaguardas que antepongan un indicador booleano, indican
que para las salvaguardas que engloban:
o {and}: Deberían aplicarse todas las salvaguardas.
o {or}: Debería aplicarse al menos una de las salvaguardas.
o {xor}: Debería aplicarse sólo una de las salvaguardas (la que mejor
aplique).
Si pulsa con el botón derecho sobre una salvaguarda le aparecerán las opciones:
o Copiar: Copia al portapapeles el código y nombre de la salvaguarda.
o Copiar la ruta: Copia al portapapeles el código y nombre de la

salvaguarda y de todos los grupos de salvaguardas donde esta se
encontrara.
o Camino completo. Si la selecciona se abrirá una nueva ventana que le

mostrará:
El nombre completo de la salvaguarda.
Los grupos de salvaguardas en los que se encuentra incluida (por si
no alcanza a ver en pantalla los padres de dicha salvaguarda), o lo
que es lo mismo, el camino que ha tenido que recorrer hasta
visualizar dicha salvaguarda.
La importancia relativa (mediante el icono en forma de paraguas).
o Más información. Si la selecciona se abrirá una nueva ventana que le

mostrará:
El aspecto en el que actúa.
La estrategia que lleva a cabo.
El tipo de protección que ofrece.
SIN CLASIFICAR
SIN CLASIFICAR
Los grupos de salvaguardas en los que se encuentra (como el

“Camino completo”).
Las normas de las que se ha extraído.
o Copiar valoración a…: Permite copiar las valoraciones de la salvaguarda

(de todas las fases que haya valorado) a otro dominio, para ello abre la
ventana de dominios y permite seleccionar el dominio en el que desee
copiar las valoraciones.
o n.a.. Si la selecciona marcará la valoración de la salvaguarda como “n.a.”,

aunque este estado es reversible si selecciona la siguiente opción
“Aplicable” (en cuyo caso volvería al nivel Lx que tuviera definido antes
de seleccionar esta opción).
Si se marca una salvaguarda como “n.a.” de este modo se obtiene el
mismo resultado que marcando su casilla de valoración a “n.a.”
(cambiando su valoración de Lx a “n.a.”). Sin embargo el objetivo de
ambas es distinto, dado que una salvaguarda que se valora como “n.a.” es
porque nunca aplica (aunque luego la seleccionara como “Aplicable” no
recuperaría el antiguo valor de Lx), mientras que una marcada como “n.a.”
mediante este método es porque en el momento del análisis nos interesa no
tenerla en cuenta por un motivo temporal (p.ej.: ver qué ocurriría si
tuviéramos o no tuviéramos esa salvaguarda).
Si crea un dominio dependiente de otro, el nuevo dominio no hereda ni
copia los “n.a.” que hubiera marcado de este modo, y sí hereda los “n.a.”
de las salvaguardas que así hubiera valorado (cambiando su valoración de
Lx a “n.a.”).
o Aplicable. Hace que una salvaguarda que se encuentra en “n.a.” (por el

método anteriormente explicado) recupere el valor que tenía
originalmente.
• Dudas: Sirve para recordarle que debe hacer algo con dicha salvaguarda (no
tiene ningún tipo de efecto sobre el análisis de riegos). Puede ver un ejemplo en
la captura de pantalla con el indicador número 5.
o [Vacío]: Se No hay ninguna duda sobre dicha salvaguarda.
o ¿...?: Tiene una duda sobre dicha salvaguarda.
o …: Indica que se trata de un grupo de salvaguardas que contiene a alguna
salvaguarda con dudas.
• Comentario: Indica si se ha introducido un comentario sobre la salvaguarda.

Puede ver un ejemplo en la captura de pantalla con el indicador número 6.
o [Vacío]: No se ha introducido ningún comentario.
o (*): Se ha introducido un comentario.
También permite introducir un comentario sobre la salvaguarda. Para ello,
deberá cliquear en la casilla, tras lo cual se le abrirá la ventana de comentario. Si
pulsa con el botón derecho del ratón sobre el texto del comentario se le
mostrarán las siguientes opciones:
o Cortar: Corta el texto previamente seleccionado.
SIN CLASIFICAR
SIN CLASIFICAR
o Copiar: Copia el texto previamente seleccionado.

o Pegar: Pega el texto que hubiera en el portapapeles.
o Ir a…: Si se pulsa sobre un enlace (por ejemplo,
“http://intranet/manual.doc” o “file:///C:/manuales/manual.doc”), cargará
dicho enlace.
Pulse el botón “Aceptar” para guardar el comentario introducido, o “Cancelar”
para descartarlo.
• Recomendación: Indica (en base a las clases de activos, su valor y grado de

exposición), mediante un número y color (ligado este al número) el nivel de
recomendación de que se aplique dicha salvaguarda. Cuanto mayor es el valor de
la recomendación:
o más recomendable es la aplicación de la salvaguarda,
o el nivel de eficacia de la salvaguarda influye más en el nivel de riesgo.
A la derecha del nivel de recomendación puede aparecer:
o (o): Indica que la salvaguarda es excesiva para el riesgo a cubrir (overkill).
o (u): Indica que la salvaguarda no es suficiente para todo el riesgo a cubrir
(underkill).
Si se encuentra sombreada esta casilla, indica que en el dominio visualizado no
existe ningún activo al que sea de aplicación dicha salvaguarda.
• Semáforo: Indica, mediante colores, el nivel de eficacia o implantación de las

salvaguardas en la fase del proyecto seleccionada (en rojo) con respecto al nivel
recomendado. Puede ver un ejemplo en la captura de pantalla con el indicador
número 7.
A continuación se indican los valores posibles:

Color de la Se muestra si… Significa que…
celda
el nivel de eficacia es requiere atención urgente (es la
[vacío] o L0 situación más desfavorable)
el nivel de eficacia es L1 es manifiestamente mejorable
el nivel de eficacia es L2, está bien o muy bien (es la
L3, L4 o L5 situación más favorable)
la evaluación de la hay que preguntar
salvaguarda es “¿…?”
la evaluación de la no aplica
salvaguarda es “n.a.”
Los grupos de salvaguardas muestran el valor, de entre las salvaguardas que

engloben, que menor nivel de eficacia o implantación tenga. Muestran, por lo
tanto, el nivel más pesimista, ofreciendo al usuario una imagen rápida de
aquellos grupos de salvaguardas que requieran atención:
Color de la Se muestra si hay… Significa que…
celda
alguna salvaguarda cuyo requiere atención urgente (es la
nivel de eficacia sea situación más desfavorable)
[vacío] o L0
alguna salvaguarda cuyo es manifiestamente mejorable

SIN CLASIFICAR
SIN CLASIFICAR

celda
nivel de eficacia sea L1
alguna salvaguarda cuyo está bien o muy bien (es la
nivel de eficacia sea L2, situación más favorable)
L3, L4 o L5
alguna salvaguarda cuya hay que preguntar
evaluación sea “¿…?”
todas las salvaguardas no aplica
son “n.a.”
• Fase: Indica el nivel de implantación de las salvaguardas en cada fase del

proyecto. La fase “current” es como se encuentra actualmente el nivel de
implantación de la salvaguarda y la fase “target” es como pretendemos que se
encuentre en el futuro (gracias a la gestión de riesgos).
En cada fase le aparecerán las mismas salvaguardas.
Para cada fase, puede valorar (o evaluar) el nivel de implantación (o madurez)

de las salvaguardas pulsando en la casilla donde se cruzan la salvaguarda y la
fase de las siguientes maneras (puede ver un ejemplo de capa en la captura de
pantalla con el indicador número 8):
a) Con el botón derecho y seleccionando, del desplegable que aparece
automáticamente, el nivel que corresponda.
b) Con el botón izquierdo (la casilla quedará sombreada en azul), seleccionando
a continuación, del desplegable que aparece en la barra de acciones como
“¿…?”, el nivel que corresponda y pulsando en el botón OperaciónAplicar.
Si pulsa en la casilla de evaluación de un grupo de salvaguardas, el valor que

seleccione se aplicará a todas las salvaguardas y grupos de salvaguardas que
englobe el grupo. Si selecciona la valoración de varias salvaguardas puede
aplicar la valoración desplegada a todas ellas al mismo tiempo pulsando en
OperaciónAplicar.
Inicialmente todas las salvaguardas se encuentran sin valorar (vacías).
Se recomienda que empiece valorando las salvaguardas en la primera fase

definida del dominio raíz, dado que las salvaguardas en las siguientes fases y de
los siguientes dominios heredarán la valoración de la fase previa
automáticamente (a no ser que introduzca un valor para ellas).
La casilla de la valoración puede mostrarse en este código de colores:

Color de la Significado
casilla
L0 Se trata de la valoración de un grupo de salvaguardas.
L0 Se trata de la valoración de una salvaguarda.
Se ha introducido la valoración manualmente.
L0 Se trata de la valoración de una salvaguarda.
La valoración ha sido heredada automáticamente del
dominio padre.
SIN CLASIFICAR
SIN CLASIFICAR
El valor del grupo de salvaguardas mostrará (se muestra en la captura de pantalla

con el indicador 9):
o Lx: Si todas las salvaguardas dentro del grupo tienen dicho valor (o si
valoró el grupo directamente).
o Lx-Ly: Si ha valorado cada salvaguarda por separado (con valoraciones
diferentes), indica el valor mínimo y máximo de las salvaguardas dentro
del grupo.
o -Ly: Si tiene salvaguardas sin y con valoración dentro del grupo.
o ?: Si el grupo contiene alguna salvaguarda marcada como “¿…?”.
Puede seleccionar una fase pulsando en el título de la fase que quiera ver (en ese
momento el nombre de la fase se pondrá en rojo). Los niveles que muestre el
semáforo serán los de la fase que esté seleccionada.
• Niveles
Muestra el nivel en el que se están mostrando las salvaguardas. Si introduce un
valor y pulsa Enter aplicará dicho nivel al elemento seleccionado.
Pulsando los botones “+” o “-”, aumenta o disminuye el nivel de las
salvaguardas (o grupos de salvaguardas) a mostrar (los expande o contrae). Los
niveles posibles son:
o Nivel 1: Muestra los grupos de salvaguardas.
o Nivel 2: Muestra las salvaguardas o grupos de salvaguardas dentro de
los grandes grupos.
jerárquicamente las salvaguardas y grupos de salvaguardas que existan.
• Un paso atrás
Al pulsar este botón, deshace la última valoración realizada. Cuantas más veces
pulse el botón, más pasos atrás dará.
• Un paso adelante
Al pulsar este botón, rehace la última acción valoración realizada. Cuantas más
veces pulse el botón, más pasos adelante dará.
En la parte central de esta zona puede acceder a las siguientes funciones:

• Nivel de madurez
Este desplegable (en la captura de pantalla con el indicador número 10) permite
seleccionar el nivel de madurez a aplicar a una o varias salvaguardas.
A continuación se muestra el valor que se puede seleccionar en el desplegable,
el valor que se muestra en la casilla y el significado del mismo (según el tipo
de salvaguarda del que se trate):
(niveles de madurez) mostrado
¿…? ? Todavía no se ha evaluado la
salvaguarda. Tiene el mismo efecto
que dejarlo vacío.
SIN CLASIFICAR
SIN CLASIFICAR

[Vacío] Se intentará usar el valor de un
dominio padre1 o, en su defecto, el
valor de una fase previa. Si no hay
valor en ningún dominio padre, ni en
ninguna fase previa, se entiende que
falta el dato y no se calcula nada
(tendría el mismo efecto que ponerlo
a L0).
Es el valor por defecto de
valoración.
1 - Inicial / ad hoc L1 Procedimiento: Se está empezando a
hacer, o sólo lo hacen algunas
personas.
Elemento: Se tiene, pero no se usa
apenas.
Documento: Se está preparando su
elaboración.
2 - Reproducible, pero L2 Procedimiento: Todos lo hacen
intuitivo igual, pero no está documentado.
3 - Proceso definido L3 Procedimiento: Todos lo hacen igual
y está documentado.
correctamente.
4 - Gestionado y medible L4 Procedimiento: Se obtienen
indicadores.
Elemento: Se obtienen indicadores.
Documento: Se obtienen
indicadores.
5 - Optimizado L5 Procedimiento: Se revisa el mismo y
los indicadores, se proponen mejoras
y se aplican.
Elemento: Se revisa el mismo y los
1
Aclaramos este concepto con el siguiente ejemplo. Tiene un proyecto con:
- Dos dominios (“base” y “sucursal”)
- Dos fases (“actual” y “futura”)
- Una salvaguarda valorada en el dominio “base” en la fase “actual” a L0 y en la fase “futura” a L1
Si ahora valora la misma salvaguarda en el dominio “sucursal” en la fase “actual” a L2 y deja vacía la fase
“futura”, dicha fase adquirirá el valor L1 pues lo hereda del dominio padre “base” en la fase “futura”. Eso
significa que la madurez de la salvaguarda disminuye en el futuro.
Si usted no contempla que una salvaguarda empeore su nivel de madurez en el futuro, deberá revisar con cuidado
los valores que pueda heredar que no sean los esperados gracias al botón “Cambios”.
SIN CLASIFICAR
SIN CLASIFICAR

indicadores, se proponen mejoras y
se aplican.
Documento: Se revisa el mismo y
los indicadores, se proponen mejoras
y se aplican.
No es aplicable n.a. La salvaguarda no tiene sentido en el
dominio.
Se debe introducir un comentario
que acredite que la salvaguarda no
es aplicable.
Si es necesaria una valoración de implantación numérica se puede aplicar la

siguiente relación:
Nivel Efectividad
L0 0%
L1 10%
L2 50%
L3 90%
L4 95%
L5 100%
• Operación
Teniendo seleccionada la casilla de valoración de una o varias salvaguardas,
aplica la madurez seleccionada según la opción que elija al pulsar el botón:
o Aplicar: Asigna la valoración seleccionada en el desplegable a su
izquierda a aquellas salvaguardas seleccionadas.
o Rellenar: Si la casilla de valoración de la salvaguarda estuviera vacía,
introduce la valoración seleccionada.
o Predecir: Si tiene seleccionada la casilla de un grupo de salvaguardas y
algunas de las salvaguardas de dicho grupo no han sido valoradas
(están vacías), al pulsar esta opción se rellena la valoración de las
vacías con la media del valor del resto de salvaguardas del grupo que sí
habían sido valoradas.
Teniendo seleccionada la casilla de valoración, en la columna “target”, de una
o varias salvaguardas:
o Simplificar: Si tiene salvaguardas en la siguiente fase (“target”) que se
encuentran al mismo nivel que en la fase actual (“current”), al pulsar
esta opción vacía dicha valoración en la siguiente fase, ya que al no
haber ningún cambio en el nivel de madurez de la salvaguarda, dejar la
salvaguarda vacía da el mismo resultado (hereda la valoración de la
fase anterior).
• Sugiere
Al pulsar este botón, le aparecerá una nueva zona sobre la barra de acciones
que contendrá un listado de salvaguardas, para el dominio y la fase
seleccionadas, ordenadas:
o de mayor a menor nivel de recomendación,

SIN CLASIFICAR
SIN CLASIFICAR
o de menor a mayor madurez.

Es decir, muestra aquellas salvaguardas a las que debería prestar más atención
dado que juegan un papel importante en la gestión del riesgo en el dominio y la
fase.
Si pulsa sobre una de dichas salvaguardas le llevará, en la zona superior, a la
salvaguarda en cuestión para que pueda gestionarla convenientemente.
Si vuelve a pulsar en este botón desaparecerá la zona de salvaguardas
sugeridas.
La captura de pantalla muestra la zona de sugerencias desplegada con el
indicador número 11.
En la parte derecha de esta zona puede acceder a las siguientes funciones:

• Buscar
Al pulsar este botón le aparecerán estas opciones:
o Cambios: Esta opción le lleva a aquellas salvaguardas cuyo nivel de
madurez mejora entre fases. Al hacer esto se seleccionará (comenzando
desde la salvaguarda que tenga marcada) la primera salvaguarda cuya
madurez haya cambiado entre las fases.
o Empeoras: Esta opción le lleva a aquellas salvaguardas cuyo nivel de
madurez empeora entre fases. Esta función puede usarse para:
a) Localizar salvaguardas cuya madurez se reduzca en el futuro
(éste es un caso habitual de análisis cuando se quiere ver si es
conveniente seguir empleando recursos en mantener a cierto
nivel la madurez de una salvaguarda).
b) Detectar si se ha introducido un valor erróneo en el nivel
planificado de madurez de las salvaguardas.
o Umbral: Esta opción le lleva a aquellas salvaguardas cuyo nivel de
madurez es menor que el deseado. Al seleccionar esta opción se le
abrirá una ventana donde podrá seleccionar:
Umbral: Seleccione el nivel por debajo del cual quiere buscar
las salvaguardas.
Fase: Seleccione las fases donde desee buscar.
Al hacer esto se seleccionará (comenzando desde la salvaguarda que
tenga marcada) la primera salvaguarda cuya madurez sea insuficiente.
o n.a.: Esta opción le lleva a aquellas salvaguardas que no apliquen
(están valoradas como “n.a.”) en cualquier fase, tanto si ha sido así
valorada como si se ha marcado de esta manera con el botón derecho
(lo contrario de “aplicable”).
Conforme pulse el botón “>>” (en la captura de pantalla con el indicador

número 12) irá pasando a la siguiente salvaguarda y sucesivas que cumplan
la opción seleccionada.

Guarda las valoraciones en el fichero.


SIN CLASIFICAR
SIN CLASIFICAR
• Ayuda ( )
5.3.3.5.1. GENERAR INFORME DE INSUFICIENCIAS
83. Una vez pulsada la opción, le aparecerá la pantalla de Gestión de Informes donde podrá
configurar el tipo y contenido del informe de insuficiencias que generará la aplicación.
84. Este informe sirve para mostrar aquellas salvaguardas que no cumplen con el nivel de
implantación mínimo aprobado por la organización.
1. Clasificación
Permite definir el nivel de clasificación del documento. Los niveles posibles a
seleccionar son:
• Ninguno
• SIN CLASIFICAR
• DIFUSIÓN LIMITADA
• CONFIDENCIAL
• RESERVADO
• SECRETO
El nivel aparecerá:
• En RTF: En el centro del pie de cada página.
• En HTML: Al comienzo de la página HTML.
2. Fecha
Permite introducir la fecha que aparecerá en el informe.
La fecha aparecerá:
• En RTF: En la izquierda del pie de cada página.
3. Dominios
Permite seleccionar los dominios cuya evaluación de salvaguardas mostrará el
informe.
4. Fase
Permite seleccionar la fase en la que se buscarán salvaguardas que no cumplan con
el nivel de implantación mínimo aprobado por la organización.
Constituye un criterio de filtrado, junto con el “Umbral”.
SIN CLASIFICAR
SIN CLASIFICAR
5. Umbral
Permite seleccionar el nivel de implantación mínimo aprobado por la organización,
en la fase indicada, para las salvaguardas. En el informe resultante sólo se mostrarán
aquellas salvaguardas cuyo nivel de implantación sea menor que el seleccionado.
Constituye un criterio de filtrado, junto con el “Fase”.
6. Formato
Permite seleccionar el tipo de informe a generar. Los tipos posibles a seleccionar
son:
• RTF
• HTML
Si no desea generar el informe, pulse en “Cancelar”.

Si ya ha seleccionado los parámetros que le interesan para la generación del informe,
pulse en “Aceptar. Al pulsar esta opción, le solicitará el fichero y la ruta donde
exportar los datos. Pulse el botón “Guardar” para crear el fichero o “Cancelar” para
no crear el fichero.
5.3.3.6. RIESGO
86. Una vez pulsada la opción de riesgo, le aparecerá la pantalla de Gestión de Riesgo
Acumulado, donde podrá ver el riesgo de la materialización de las amenazas en los
activos.
87. Si ha aplicado salvaguardas a las amenazas, y en función del nivel de implantación de
las mismas, verá que el riesgo acumulado residual es menor que el riesgo acumulado
potencial.
88. Esta pantalla muestra los valores en base a la información que ha introducido
previamente, no permite introducir ningún valor.

SIN CLASIFICAR
SIN CLASIFICAR
1. Fase
La información sobre el riesgo se muestra según la pestaña que esté seleccionada (la
que vea en azul), que mostrará la fase en la que se encuentre la gestión de riesgos:
• Potencial: La primera pestaña permite visualizar el riesgo potencial acumulado
de las amenazas sobre los activos, esto es, si no se aplicara ninguna
salvaguarda (es el mismo valor que el mostrado en el riesgo potencial
acumulado).
• Current: Muestra el riesgo residual acumulado, esto es, el riesgo existente

actualmente teniendo en cuenta el nivel de madurez de las salvaguardas
actualmente implantadas.
• Target: Muestra el riesgo residual planificado, esto es, el riesgo que existirá
una vez que se haya gestionado (modificando el nivel de madurez de las
salvaguardas en el futuro).
Puede cambiar de fase pulsando en la pestaña de la fase deseada.

En cada fase le aparecerán los mismos activos y las mismas amenazas, pero el riesgo
variará en función del nivel de madurez de las salvaguardas.

SIN CLASIFICAR
SIN CLASIFICAR
2. Panel de control
• Selección: Una casilla para marcar cualquier elemento (la base de las capas,
capas, grupos de activos, activos y amenazas). Si desea marcar varios elementos
contiguos, marque el primero, mantenga pulsada la tecla MAYÚSCULAS y
marque el último. Si desea desmarcar todo, haga doble click en la cabecera de la
columna.
Puede ver un ejemplo en la captura de pantalla con el indicador número 4.
• Activos: Muestra todos los activos (organizados por las capas y grupos de
activos que haya creado) y, dentro de cada uno, todas las amenazas que les haya
definido.
Si pulsa sobre la cabecera de la columna (en la captura de pantalla con el

indicador número 5), se abrirá otra ventana igual que esta pero en la que se
intercambiarán las pestañas con las columnas de dimensión. Así se mostrará:
o En las pestañas: Las dimensiones.
o En las columnas donde estaban las dimensiones: Las fases del proyecto.

SIN CLASIFICAR
SIN CLASIFICAR
• Riesgo en cada dimensión: Muestra el riesgo (potencial o residual, dependiendo

de la pestaña que tenga seleccionada) acumulado en cada dimensión que esté
valorando. Mostrará el riesgo en las siguientes dimensiones:
o [D]: Disponibilidad.
o [I]: Integridad.
o [C]: Confidencialidad.
o [A]: Autenticidad.
o [T]: Trazabilidad.
Y también está dividido en filas:

o Para cada capa y grupo de activos, las casillas en las columnas de las
dimensiones muestran el nivel de riesgo de aquel elemento incluido que
tenga el mayor nivel de riesgo. Estas casillas se muestran sombreadas en
gris.
o Para cada activo, las casillas en las columnas de las dimensiones (que
hubiera valorado previamente) muestran el nivel de riesgo de aquella
amenaza que le provoque mayor riesgo. Aquellas dimensiones que no
hayan sido valoradas, no mostrarán ningún riesgo (aparecerá sombreada en
gris la casilla).
o Para cada amenaza, las casillas en las columnas de las dimensiones
muestran el riesgo. Si la amenaza no fue valorada, la casilla aparecerá
vacía.
o Los riesgos se muestran con la siguiente escala de colores según su valor:
{5} o más: Crítico
{4}: Muy alto
{3}: Alto
{2}: Medio
{1}: Bajo
{0}: Despreciable
• Niveles
y pulsa Enter aplicará dicho nivel al elemento seleccionado.
Los niveles posibles son:
o Nivel 1: Muestra las capas.
o Nivel 2: Muestra los activos o grupos de activos dentro de las capas.
jerárquicamente los activos y grupos de activos que existan.
• +1
Si selecciona esta casilla, se mostrarán las amenazas de los activos (o grupos de
activos) seleccionados. Utilice esta casilla habiendo desplegado los activos
cuyas amenazas quiera ver mediante el indicador de nivel a su izquierda (no
habiendo desplegado los activos cliqueando directamente en los activos).

SIN CLASIFICAR
SIN CLASIFICAR
• Dominio
Al pulsar este botón, se muestran los dominios definidos. Al seleccionar un
dominio se marcarán las casillas de selección de los grupos de activos y activos
que se encuentren en dicho dominio.
• Gestiona
Al pulsar este botón, se le abrirá la ventana de Gestión de Salvaguardas para
editar el nivel de las salvaguardas con objeto de reducir el riesgo futuro. Los
datos que muestre la ventana de Gestión de Salvaguardas dependerá de los
activos o amenazas que tuviera seleccionados previamente:
o Si tenía selecciona una amenaza: La ventana mostrará un solo dominio
(aquel en el que se encontrara el activo al que le afecta la amenaza
seleccionada) y mostrará el nivel de recomendación de las salvaguardas
en función de aquellas que tengan una mayor influencia en la gestión
del riesgo asociado a esa amenaza.
o Si tenía seleccionado un activo: La ventana mostrará un solo dominio
(aquel en el que se encontrara el activo) y mostrará el nivel de
recomendación de las salvaguardas en función de aquellas que tengan
una mayor influencia en la gestión de los riesgos asociados a las
amenazas que le afectan a ese activo.
o Si tenía seleccionados varios activos: La ventana mostrará tantas
pestañas como dominios en los que se encuentren los activos, y
mostrará el nivel de recomendación de las salvaguardas en cada
dominio siguiendo la filosofía del caso anterior.
o Ventana de Gestión de Salvaguardas

En dicha ventana podrá ver las salvaguardas que son de aplicación a las
amenazas que le afectan a los elementos seleccionados, que serán
aquellas cuya columna “Recomendación” contenga algún valor.
Con independencia de que la salvaguarda esté o no recomendada, puede

editar la evaluación de cualquier salvaguardas.
Son de aplicación el resto de opciones habituales en la Gestión de

Salvaguardas.
• Leyenda
Al pulsar este botón se abrirá la ventana de “Niveles de criticidad” que
describe el significado de los distintos niveles de riesgo y su código de colores.
Puede cerrarla pulsando en el botón de “Aceptar”.

funciones:
• HTML
Exporta todas las líneas visibles a un fichero del tipo HTML. Si selecciona
alguna línea, sólo exportará dicha línea. Si selecciona algún activo, sólo
exportará dicho activo.

SIN CLASIFICAR
SIN CLASIFICAR
Pulse el botón “Guardar” para crear el fichero HTML o “Cancelar” para no
crear el fichero.
• XML
Exporta todos los activos, valoraciones, amenazas, frecuencias, degradaciones,
impactos (se miden en la misma escala que se utiliza para valorar los dominios)
y riesgos a un fichero del tipo XML.
Pulse el botón “Guardar” para crear el fichero XML o “Cancelar” para no crear
el fichero.
• CSV
Exporta todas las líneas visibles a un fichero del tipo CSV. Si selecciona
alguna línea, sólo exportará dicha línea. Si selecciona algún activo, sólo
exportará dicho activo.
el fichero.
• Cierra ( )
Cierra la ventana.
• Ayuda ( )
5.3.4. INFORMES
90. Este menú contiene las siguientes opciones relacionadas con la generación de informes:
• Modelo de valor
• Salvaguardas
• Riesgo
• Por patrón
• [27002:2005] Código de buenas prácticas para la Gestión de la Seguridad de la
Información
• [RD 1720] Protección de datos de carácter personal

SIN CLASIFICAR
SIN CLASIFICAR
91. Con el objetivo de que identifique qué informe es el que más se adapta a sus
necesidades, en la siguiente tabla se enumera el contenido de cada uno (marcado con
una X):
Modelo de Valor
Informe
(27002:2005 o
Insuficiencias
Salvaguardas
RD 1720)
Riesgo
Perfil
Contenido
Formato
RTF X X X X
HTML X X X X X
Datos del proyecto X X X X
Dimensiones X
Dominios X X X X
Valor de los dominios X
Activos X
Información sobre las capas, grupos de X
activos y activos
Amenazas de cada activo y riesgo que le X
provocan
Fases X X X
Evaluación de todas las salvaguardas X
Evaluación de las salvaguardas incluidas en el X
perfil
Evaluación de salvaguardas inmaduras X
Riesgo acumulado potencial X
Riesgo acumulado actual X
Riesgo acumulado planificado X
5.3.4.1. MODELO DE VALOR
92. Esta opción genera un informe textual que contendrá la siguiente información:
• Datos del proyecto
• Dimensiones
• Grupos de activos y activos en cada capa
• Activos
configurar el tipo y contenido del informe que generará la aplicación.

SIN CLASIFICAR
SIN CLASIFICAR
1. Clasificación
seleccionar son:
• Ninguno
• SIN CLASIFICAR
• CONFIDENCIAL
• RESERVADO
• SECRETO
2. Fecha
Permite introducir la fecha que aparecerá en el informe. Por defecto muestra la fecha del
día actual.
3. Activos
Es un filtro para delimitar el contenido del informe. Permite seleccionar los activos cuya
información mostrará el informe. Por defecto formarán parte del informe todos los
activos que existen (no aparecen los marcados como /no existe).
4. Dominios de seguridad
Es un filtro para delimitar el contenido del informe. Permite seleccionar los dominios
donde se encuentran los activos a mostrar en el informe. Por defecto están seleccionados
todos los dominios empleados en el proyecto.
5. Dimensiones
Es un filtro para delimitar el contenido del informe. Permite seleccionar las dimensiones
de las que mostrará datos el informe. Por defecto están seleccionadas todas las
dimensiones de seguridad empleadas en el proyecto.
6. Formato
Permite seleccionar el tipo de informe a generar. Los tipos posibles a seleccionar son:
• RTF
• HTML

SIN CLASIFICAR
SIN CLASIFICAR

pulse en “Aceptar. Al pulsar esta opción, le solicitará el fichero y la ruta donde exportar
los datos. Pulse el botón “Guardar” para crear el fichero o “Cancelar” para no crear el
fichero.
5.3.4.2. SALVAGUARDAS
95. Esta opción genera un informe textual que contendrá la siguiente información:
• Datos del proyecto
• Fases
• Salvaguardas y su nivel de madurez en cada dominio y fase
configurar el tipo y contenido del informe que generará la aplicación.
1. Clasificación
seleccionar son:
• Ninguno
• SIN CLASIFICAR
• CONFIDENCIAL
• RESERVADO
• SECRETO
2. Fecha
Permite introducir la fecha que aparecerá en el informe. Por defecto muestra la fecha
del día actual.

SIN CLASIFICAR
SIN CLASIFICAR
3. Dominios de seguridad
Es un filtro para delimitar el contenido del informe. Permite seleccionar los
dominios donde se encuentran los activos a mostrar en el informe. Por defecto están
seleccionados todos los dominios empleados en el proyecto.
4. Formato
Permite seleccionar el tipo de informe a generar. Los tipos posibles a seleccionar
son:
• RTF
• HTML

pulse en “Aceptar. Al pulsar esta opción, le solicitará el fichero y la ruta donde
exportar los datos. Pulse el botón “Guardar” para crear el fichero o “Cancelar” para
no crear el fichero.
5.3.4.3. RIESGO
98. Una vez pulsada la opción de informe gráfico, le aparecerá la pantalla de Gestión de
Informe de Riesgo Acumulado, donde podrá ver el riesgo acumulado de las amenazas
en los activos.
99. Esta pantalla muestra los valores en base a la información que ha introducido
previamente, no permite introducir ningún valor.

SIN CLASIFICAR
SIN CLASIFICAR
1. Barra de herramientas de los activos

• Sólo capas
Al pulsar este botón, se contraerán los activos a nivel de capas, ya que sólo se
muestran las capas del proyecto (nivel 1).
• Niveles
Muestra el nivel en el que se están mostrando los activos.
Pulsando los botones de “+” o “-”, aumenta o disminuye el nivel de los activos
(o grupos de activos) a mostrar (los expande o contrae).
• Borrar
Desmarca todos los activos o grupos de activos marcados.
• Todos
Marca todos los activos.
• Dominio
Al pulsar este botón, se muestran los dominios definidos. Al seleccionar un
dominio se marcarán los activos que se encuentren en dicho dominio.
2. Panel de control de activos

haya creado. Se utiliza este panel para seleccionar los activos que queremos incluir
en el gráfico o en el fichero CSV.
3. Barra de herramientas de las fases

• Borrar
Desmarca todas las fases marcadas.
• Todas
Marca todas las fases.
Aunque no aparece en este menú, el riesgo potencial siempre se incluye tanto en el

gráfico de radar como en el CSV exportado.
4. Panel de control de fases

Desde este panel puede visualizar todas las fases que haya definido. Se utiliza este
panel para seleccionar las fases en las que queremos ver el riesgo acumulado.
Aunque no aparece en este panel, el riesgo potencial siempre se incluye tanto en el
gráfico de radar como en el CSV exportado.

SIN CLASIFICAR
SIN CLASIFICAR
• CSV
Exporta el valor del riesgo acumulado (tanto potencial como gestionado) de los
activos marcados en las fases marcadas a un fichero del tipo CSV.
el fichero.
• Gráfico
Para generar este informe gráfico debe seleccionar, al menos, tres activos. Una
vez pulsada esta opción se le abrirá la ventana de Gestión de Informe Gráfico.
En la parte derecha de esta zona puede acceder directamente a la siguiente función:

• Ayuda ( )
5.3.4.3.1. GENERAR INFORME GRÁFICO
101. Una vez pulsada la opción, le aparecerá la pantalla de Gestión de Informe Gráfico
donde podrá configurar el tipo y contenido del gráfico que generará la aplicación. Si le
aparece un mensaje de error debido a un número insuficiente de activos a mostrar,
seleccione otro tipo de gráfico.
102. Este informe sirve para ver gráficamente el nivel de riesgo de los activos.

SIN CLASIFICAR
SIN CLASIFICAR
• Copiar
Copia el gráfico en el portapapeles.
• Guardar
Guarda el gráfico a un fichero.
Puede introducir como extensión del fichero: bmp, jpg, wbmp, jpeg, png o gif.
Pulse el botón “Guardar” para crear el fichero o “Cancelar” para no crear el
fichero.
• Imprimir
Al pulsar este botón mostrará las opciones de impresión y, una vez definidas,
imprimirá el gráfico tal y como se muestre en pantalla.
• Tipo de gráfico
Los botones que muestran tipos de gráficos permiten, al pulsarlos, mostrar los
riesgos de las siguientes formas:
o Radar
Para generar este informe gráfico debe seleccionar, al menos, tres
activos.
SIN CLASIFICAR
SIN CLASIFICAR
Los círculos del radar serán los valores de riesgo acumulado. Los radios
serán los activos. Los riesgos acumulados se unirán para representar la
misma fase.
o Área
activos.
El gráfico de área es igual que el de radar pero rellenando el contenido
de cada fase.
o Sectores
activos.
El gráfico de sectores es similar al de barras pero mostrando los activos
en círculo (como el de radar) en vez de en línea.
o Líneas horizontales
Mostrará mediante un gráfico de líneas horizontales el valor del riesgo
acumulado en los activos según las fases.
En el eje Y se mostrarán los valores de riesgo acumulado. En el eje X
se mostrarán los activos. Los riesgos acumulados se unirán para
representar la misma fase.
o Barras verticales
Mostrará mediante un gráfico de barras verticales el valor del riesgo
En el eje Y se mostrarán los valores de riesgo acumulado. En el eje X
se mostrarán los activos, indicando el riesgo acumulado con una barra
para cada fase.
o Pila vertical
Mostrará mediante un gráfico de barras verticales el valor del riesgo
En el eje Y se mostrarán la suma de los valores de riesgo acumulado.
En el eje X se mostrarán las fases, indicando el riesgo acumulado de
cada activo con un color diferente.
o Líneas verticales
Mostrará mediante un gráfico de líneas verticales el valor del riesgo
En el eje Y se mostrarán los activos. En el eje X (en la parte superior)
se mostrarán los valores de riesgo acumulado. Los riesgos acumulados
se unirán para representar la misma fase.
o Barras horizontales
Mostrará mediante un gráfico de barras horizontales el valor del riesgo
En el eje X se mostrarán los valores de riesgo acumulado. En el eje Y
se mostrarán los activos, indicando el riesgo acumulado con una barra
para cada fase.
o Pila horizontal
Mostrará mediante un gráfico de barras horizontales el valor del riesgo
En el eje X se mostrarán la suma de los valores de riesgo acumulado.
En el eje Y se mostrarán las fases, indicando el riesgo acumulado de
cada activo con un color diferente.

SIN CLASIFICAR
SIN CLASIFICAR
2. Panel de presentación
En esta zona se muestra el gráfico que representa los riesgos.
Para cerrar esta ventana, pulse el botón superior derecho X.
5.3.4.4. POR PATRÓN
104. Esta opción le permite generar un informe a medida. Se basa en un documento RTF
(plantilla) con indicaciones de dónde debe PILAR Basic introducir los datos.
105. Una vez pulsada esta opción se le presentará una ventana con:
1. Patrón
Deberá seleccionar el fichero patrón a utilizar. Puede encontrar una plantilla de
ejemplo en reports\GenericReport.rtf
2. Salida
Deberá indicar la ruta y el nombre del fichero RTF a generar.
Una vez introducidos los datos, pulse en “Aceptar” para generar el fichero, o en
“Cancelar” para anular la creación del fichero.
5.3.4.4.1. PLANTILLA RTF
106. PILAR Basic dispone de un fichero en formato RTF con la plantilla de donde carga
información al crear un nuevo informe a medida.
107. Dicho fichero se encuentra en el directorio \reports, bajo el nombre GenericReport.rtf.
Para editar este fichero debe utilizar un procesador de textos que soporte ficheros RTF.
Puede introducir cualquier texto en el fichero RTF, como si escribiera en un documento
normal. Cuando PILAR Basic lo utilice como plantilla, sólo modificará aquella
información que se encuentre entre <pilar> </pilar>.
108. Las sentencias que PILAR Basic interpreta son:

<pilar> Define el comienzo de un dato que introducirá
PILAR Basic.
</pilar> Define el fin de un dato que introdujo PILAR
Basic.
<replace kw="model"/> Introduce el código y el nombre del proyecto
<date/> Introduce la fecha de creación del informe
<replace kw="model.description"/> Introduce la descripción amplia del proyecto
<dimensions.list/> Introduce las dimensiones de valoración
<domains.valuation/> Introduce la valoración de los dominios
<domains.description/> Introduce el código y nombre de los dominios
<assets.description/> Introduce el código, nombre y clase de cada

SIN CLASIFICAR
SIN CLASIFICAR

activo
<threats.domain/> Introduce las amenazas de cada dominio y el
riesgo potencial que le provocan en cada
dimensión
<maturity.list/> Introduce una descripción de los niveles de
madurez
<safeguards.valuation Introduce, para cada dominio y cada fase, el
phase="current,target"/> nivel de madurez de las salvaguardas
<risk.domain Introduce, para cada dominio y cada fase, el
phase="null,current,target"/> riesgo residual en cada dimensión
5.3.4.5. [27002:2005] CÓDIGO DE BUENAS PRÁCTICAS PARA LA GESTIÓN DE

LA SEGURIDAD DE LA INFORMACIÓN
109. Muestra las salvaguardas que aplican a los requisitos requeridos por la ISO 27002:2005
de “Código de buenas prácticas para la Gestión de la Seguridad de la Información”.
• Editar
o Buscar
Busca controles o salvaguardas por su nombre. Al pulsar esta opción se
abrirá una ventana donde introducir una sentencia y buscarla (al pulsar
Enter). No distingue mayúsculas de minúsculas, pero sí tildes.
Si encuentra la sentencia buscada, la mostrará marcada en azul. Si pulsa
Enter más veces, buscará las siguientes veces que aparezca la sentencia
(volverá a empezar por el principio cuando llegue al final).
SIN CLASIFICAR
SIN CLASIFICAR
Las teclas de acceso directo a esta opción son Control + F.

o Pregunta
Selecciona la primera pregunta que exista a partir de donde se encuentre
la selección. Si pulsa Pregunta más veces, buscará las siguientes veces
que aparezca una pregunta (volverá a empezar por el principio cuando
llegue al final).
Las teclas de acceso directo a esta opción son Control + Q.
• Exportar
o …a CSV
Exporta todas las líneas visibles a un fichero del tipo CSV.
datos. Pulse el botón “Guardar” para crear el fichero CSV o “Cancelar”
o …a XML
Exporta todo a un fichero del tipo XML.
datos. Pulse el botón “Guardar” para crear el fichero XML o “Cancelar”
o Informe
Genera un fichero RTF o HTML con la evaluación de todos los
controles.
Al pulsar esta opción se abre la ventana para generar el informe de
controles.
o SoA
Genera un fichero RTF o HTML con el listado de todos los controles,
indicando si aplican o no, así como sus comentarios. Constituirá así la
Declaración de Aplicabilidad (Statement of Applicability).
Al pulsar esta opción se abre la ventana para generar el informe de
aplicabilidad de controles.
• Importar
o …de CSV
Importa la valoración de salvaguardas de un fichero CSV.
Al pulsar esta opción, le solicitará el fichero y la ruta de donde importar
los datos. Pulse el botón “Abrir” para cargar el fichero CSV o
“Cancelar” para no cargar el fichero.
o …de XML
Importa la valoración de salvaguardas de un fichero XML.
Al pulsar esta opción, le solicitará el fichero y la ruta de donde importar
los datos. Pulse el botón “Abrir” para cargar el fichero XML o
“Cancelar” para no cargar el fichero.
• Seleccionar
o 0
Desmarca todo.
o 1
Marca todas las áreas de control.
o 2
Marca todos los grupos de controles.
SIN CLASIFICAR
SIN CLASIFICAR
o 3
Marca todos los controles.
o Fases del proyecto
Permite seleccionar las fases que se mostrarán al plasmar los niveles en
las gráficas.
• Gráficas
o Gráfico
Genera un gráfico con el nivel de cumplimiento. Es igual que el gráfico
generado para el riesgo, pero en vez de mostrarse activos se muestran
las áreas de control, grupos de controles o controles que haya marcado
para todas las fases del proyecto que hubiera marcado en “Seleccionar”
“Fases del proyecto”.
Al pulsar este botón, se abrirá una ventana de Gestión de Informe
Gráfico que mostrará los distintos tipos de gráficos con los que
representar el nivel de cumplimiento.
2. Dominio
Muestra el código y nombre del dominio cuya valoración de salvaguardas está
visualizando.
Si desea cambiar de dominio, pulse sobre el nombre del dominio, a continuación se
le abrirá una ventana que le permitirá seleccionar, del árbol de dominios, aquel
dominio cuya valoración de salvaguardas quiera ver. Una vez seleccionado pulse
“Aceptar” para cerrar la ventana tras seleccionar el dominio deseado, o “Cancelar”
para no cambiar de dominio.
En todos los dominios le aparecerán las mismas salvaguardas.
3. Panel de control
• Selección: Una casilla para marcar cualquier elemento (menos las salvaguardas).
Si desea marcar varios elementos contiguos, marque el primero, mantenga
pulsada la tecla MAYUSCULAS y marque el último. Si desea desmarcar todo,
pulse haga doble click en la cabecera de la columna.
• Recomendación: Indica el nivel de recomendación de que se aplique dicho

control. Cuanto mayor es el valor de la recomendación, más recomendable es la
aplicación del control.
Si se encuentra sombreada esta casilla, indica que en el dominio visualizado no
existe ningún activo al que sea de aplicación dicho control.
• Semáforo: Indica, mediante colores, el nivel de eficacia o implantación de las

salvaguardas en la fase del proyecto seleccionada (en rojo) con respecto al nivel
recomendado.

SIN CLASIFICAR
SIN CLASIFICAR
A continuación se indican los valores posibles:
Color de la Se muestra si… Significa que…

celda
el nivel de eficacia es requiere atención urgente (es la
[vacío] o L0 situación más desfavorable)
el nivel de eficacia es L1 es manifiestamente mejorable
el nivel de eficacia es L2, está bien o muy bien (es la
L3, L4 o L5 situación más favorable)
la evaluación del control hay que preguntar
es “¿…?”
la evaluación del control no aplica
es “n.a.”
Los grupos de controles muestran el valor, de entre los controles que engloben,
que menor nivel de eficacia o implantación tenga. Muestran, por lo tanto, el
nivel más pesimista, ofreciendo al usuario una imagen rápida de aquellos grupos
de controles que requieran atención:
celda
algún control cuyo nivel requiere atención urgente (es la
de eficacia sea [vacío] o situación más desfavorable)
L0
algún control cuyo nivel es manifiestamente mejorable
de eficacia sea L1
algún control cuyo nivel está bien o muy bien (es la
de eficacia sea L2, L3, L4 situación más favorable)
o L5
algún control cuya hay que preguntar
evaluación sea “¿…?”
todos los controles son no aplica
“n.a.”
• Control: Muestra las áreas de control, grupos de controles, controles, grupo de

salvaguardas y salvaguardas.
Las salvaguardas que se muestran no son más que un subconjunto de las
salvaguardas que ofrece la aplicación y que puede ver en la ventana de
evaluación de salvaguardas, por lo tanto en esta ventana sólo verá aquellas
salvaguardas que son de aplicación al control de la norma. Por lo tanto, si evalúa
sólo las salvaguardas exigidas por la norma, nunca obtendrá un análisis tan
completo como si evaluara todas las salvaguardas.
Las áreas de control y controles están identificadas por el icono .
Las salvaguardas y los grupos de salvaguardas están identificadas por un icono
en forma de paraguas y un subíndice. A todos les precede un código único entre
corchetes. Los colores y valores subíndice de los paraguas informan de la
importancia relativa (dentro del conjunto de salvaguardas en el que se encuentre)
de la salvaguarda, que puede ser:
o : Interesante.

SIN CLASIFICAR
SIN CLASIFICAR
o : Importante. Tiene un peso mayor que una salvaguarda gris.

o : Muy importante. Tiene un peso mayor que una salvaguarda verde.
o : Crítica. Tiene un peso mayor que una salvaguarda amarilla.
El peso de las salvaguardas los aplica PILAR a la hora de calcular:
o El impacto y riesgo residuales.
o El valor de la recomendación.
No es adecuado, para realizar una evaluación somera, evaluar únicamente las

salvaguardas de nivel 3 (rojo), o de cualquier otro nivel, ya que su importancia
es relativa y produciría unos resultados irreales.
Las salvaguardas están agrupadas para, además de facilitar su comprensión y

valoración, indicar qué salvaguardas de un tipo debería disponer la organización.
Así, los grupos de salvaguardas que antepongan un indicador booleano, indican
que para las salvaguardas que engloban:
o {and}: Deberían aplicarse todas las salvaguardas.
o {or}: Debería aplicarse al menos una de las salvaguardas.
o {xor}: Debería aplicarse sólo una de las salvaguardas (la que mejor
aplique).
Si pulsa con el botón derecho sobre un control o salvaguarda le aparecerán las

opciones:
o Copiar: Copia al portapapeles el código y nombre de la salvaguarda.
o Copiar la ruta: Copia al portapapeles el código y nombre de la
salvaguarda y de todos los grupos de salvaguardas donde esta se
encontrara.
o Texto completo. Abre una nueva ventana que muestra todo el texto del
control o salvaguarda (por si este no cupiera en la ventana.
o Descripción. Muestra la descripción del control o salvaguarda, si la tiene.
o Camino completo. Abre una nueva ventana que le mostrará:
El nombre completo de la salvaguarda.
Los grupos de controles y de salvaguardas en los que se encuentra
incluida (por si no alcanza a ver en pantalla los padres de dicha
salvaguarda), o lo que es lo mismo, el camino que ha tenido que
recorrer hasta visualizar dicha salvaguarda.
La importancia relativa (mediante el icono en forma de paraguas).
• Dudas: Sirve para recordarle que debe hacer algo con dicha salvaguarda (no
tiene ningún tipo de efecto sobre el análisis de riegos).
o [Vacío]: Se No hay ninguna duda sobre dicha salvaguarda.
o ¿...?: Tiene una duda sobre dicha salvaguarda.
o …: Indica que se trata de un grupo de salvaguardas que contiene a alguna
salvaguarda con dudas.
• Aplicable: Indica si se ha decidido aplicar el control en el dominio de la

organización.

SIN CLASIFICAR
SIN CLASIFICAR
Para cada dominio, puede valorar si son de aplicación las áreas de control o
controles pulsando una vez en la casilla de la misma (cambia de estar vacía a
“n.a.”). Si pulsa en la casilla de aplicación de un área de control (no en una
salvaguarda o en un grupo de salvaguardas), provocará que tanto para el área de
control como los controles que englobe las casillas de valoración aparezcan
vacías, lo que denota que no aplica al proyecto (aunque esto no afectará a la
valoración de las salvaguardas que englobara).
Inicialmente todos los controles se aplican.
La aplicabilidad de controles no se hereda de dominios padre a hijo.
• Comentario: Indica si se ha introducido un comentario sobre la salvaguarda.

o [Vacío]: No se ha introducido ningún comentario.
o (*): Se ha introducido un comentario.
También permite introducir un comentario sobre la salvaguarda. Para ello,
deberá cliquear en la casilla, tras lo cual se le abrirá la ventana de comentario.
Pulse el botón “Aceptar” para guardar el comentario introducido, o “Cancelar”
para descartarlo.
• Fase: Indica el nivel de implantación de las salvaguardas en cada fase del

proyecto.
En cada fase le aparecerán las mismas salvaguardas.
Para cada fase, puede valorar (o evaluar) el nivel de implantación (madurez) de

las áreas de control, controles y salvaguardas pulsando en la casilla donde se
cruzan la salvaguarda y la fase de las siguiente maneras:
a) Con el botón derecho y seleccionando, del desplegable que aparece
automáticamente, el nivel que corresponda.
b) Con el botón izquierdo (la casilla quedará sombreada en azul), seleccionando
a continuación, del desplegable que aparece en la barra de acciones como
“¿…?”, el nivel que corresponda y pulsando en el botón “Aplicar”.
Si pulsa en la casilla de evaluación de un grupo de salvaguardas, el valor que

seleccione se aplicará a todas las salvaguardas y grupos de salvaguardas que
englobe el grupo. Si selecciona la valoración de varias salvaguardas puede
aplicar la valoración desplegada a todas ellas al mismo tiempo pulsando en
“Aplica”.
Inicialmente todos los controles se encuentran sin valorar (vacíos).
Se recomienda que empiece evaluando los controles en la primera fase definida

del dominio raíz, dado que los controles en las siguientes fases y de los
siguientes dominios heredarán la valoración de la fase previa automáticamente
(a no ser que introduzca un valor para ellas).

SIN CLASIFICAR
SIN CLASIFICAR
A continuación se muestra el valor que se puede seleccionar en el desplegable, el

valor que se muestra en la casilla y el significado del mismo (según el tipo de
salvaguarda del que se trate):
Valor seleccionable Valor mostrado Significado
(niveles de madurez)
¿…? Control: ¿…? Todavía no se ha evaluado la
Salvaguarda: ? salvaguarda. Tiene el mismo
efecto que dejarlo vacío.
[Vacío] Control: 0% Se intentará usar el valor de un
Salvaguarda: [Vacío] dominio padre o, en su defecto,
el valor de una fase previa. Si
no hay valor en ningún dominio
padre, ni en ninguna fase previa,
se entiende que falta el dato y
no se calcula nada (tendría el
mismo efecto que ponerlo a L0).
valoración.
0 - Inexistente Control: 0% Procedimiento: No se realiza.
Salvaguarda: L0 Elemento: No se tiene.
1 - Inicial / ad hoc Control: 10% Procedimiento: Se está
Salvaguarda: L1 empezando a hacer, o sólo lo
hacen algunas personas.
Elemento: Se tiene, pero no se
usa apenas.
Documento: Se está preparando
su elaboración.
2 - Reproducible, pero Control: 50% Procedimiento: Todos lo hacen
intuitivo Salvaguarda: L2 igual, pero no está
documentado.
3 - Proceso definido Control: 90% Procedimiento: Todos lo hacen
Salvaguarda: L3 igual y está documentado.
correctamente.
4 - Gestionado y Control: 95% Procedimiento: Se obtienen
medible Salvaguarda: L4 indicadores.
Elemento: Se obtienen
indicadores.
indicadores.
5 - Optimizado Control: 100% Procedimiento: Se revisa el
Salvaguarda: L5 mismo y los indicadores, se
Elemento: Se revisa el mismo y
los indicadores, se proponen
SIN CLASIFICAR
SIN CLASIFICAR
Valor seleccionable Valor mostrado Significado

(niveles de madurez)
mejoras y se aplican.
Documento: Se revisa el mismo
y los indicadores, se proponen
No es aplicable [Vacío] La salvaguarda no tiene sentido
en el dominio.
Se debe introducir un
comentario que acredite que la
salvaguarda no es aplicable.
Si la valoración de un área de control o controles se obtiene automáticamente en

base a la valoración de las salvaguardas que englobe, mostrará la media de la
valoración de las salvaguardas.
Puede seleccionar una fase pulsando en el título de la fase que quiera ver (en ese
momento el nombre de la fase se pondrá en rojo). Los niveles que muestre el
semáforo serán los de la fase que esté seleccionada.
• Niveles
Muestra el nivel en el que se están mostrando las salvaguardas. Si introduce un
valor y pulsa Enter aplicará dicho nivel al elemento seleccionado.
Pulsando los botones “+” o “-”, aumenta o disminuye el nivel de las
salvaguardas a mostrar (los expande o contrae). Los niveles posibles son:
o Nivel 1: Muestra las áreas de control.
o Nivel 2: Muestra los grupos de controles.
o Nivel 3: Muestra los controles.
jerárquicamente los grupos de salvaguardas y salvaguardas que existan.
• Madurez/Porcentaje
Muestra la escala en la que se está mostrando el nivel de implantación de los
controles.
Si muestra:
o Madurez: Los controles muestran el nivel de implantación en
porcentaje (de 0% a 100%).
o Porcentaje: Los controles muestran el nivel de implantación en
madurez (de L0 a L5).
• Un paso atrás
Al pulsar este botón, deshace la última valoración realizada. Cuantas más veces
pulse el botón, más pasos atrás dará.
• Un paso adelante
Al pulsar este botón, rehace la última acción valoración realizada. Cuantas más
veces pulse el botón, más pasos adelante dará.
SIN CLASIFICAR
SIN CLASIFICAR
• Nivel de madurez
Este desplegable permite seleccionar el nivel de madurez a aplicar a una
salvaguarda.
A continuación se muestra el valor que se puede seleccionar en el desplegable,
el valor que se muestra en la casilla y el significado del mismo (según el tipo
de salvaguarda del que se trate):
¿…? ? Todavía no se ha evaluado la
salvaguarda. Tiene el mismo
efecto que dejarlo vacío.
[Vacío] Se intentará usar el valor de un
dominio padre o, en su defecto,
el valor de una fase previa. Si
no hay valor en ningún dominio
padre, ni en ninguna fase previa,
se entiende que falta el dato y
no se calcula nada (tendría el
mismo efecto que ponerlo a L0).
valoración.
1 - Inicial / ad hoc L1 Procedimiento: Se está
empezando a hacer, o sólo lo
hacen algunas personas.
Elemento: Se tiene, pero no se
usa apenas.
Documento: Se está preparando
su elaboración.
2 - Reproducible, pero L2 Procedimiento: Todos lo hacen
intuitivo igual, pero no está
documentado.
3 - Proceso definido L3 Procedimiento: Todos lo hacen
igual y está documentado.
correctamente.
4 - Gestionado y medible L4 Procedimiento: Se obtienen
indicadores.
Elemento: Se obtienen
indicadores.
SIN CLASIFICAR
SIN CLASIFICAR

indicadores.
5 - Optimizado L5 Procedimiento: Se revisa el
mismo y los indicadores, se
Elemento: Se revisa el mismo y
los indicadores, se proponen
Documento: Se revisa el mismo
y los indicadores, se proponen
No es aplicable na La salvaguarda no tiene sentido
en el dominio.
Se debe introducir un
comentario que acredite que la
salvaguarda no es aplicable.
Si es necesaria una valoración de implantación numérica se puede aplicar la

siguiente relación:
Nivel Efectividad
L0 0%
L1 10%
L2 50%
L3 90%
L4 95%
L5 100%
• Aplicar
Asigna la valoración seleccionada en el desplegable a su izquierda a aquellas
salvaguardas seleccionadas.

funciones:
• Ayuda ( )

SIN CLASIFICAR
SIN CLASIFICAR
5.3.4.6. [RD 1720] PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL
111. Muestra las salvaguardas que aplican a los requisitos requeridos por el “Reglamento de
Medidas de Seguridad de los ficheros automatizados que contengan datos de carácter
personal” para el cumplimiento de la Ley Orgánica de Protección de Datos de Carácter
Personal.
112. El trabajo con esta pantalla es igual que con el de [27002:2005] Código de buenas
prácticas para la Gestión de la Seguridad de la Información, con las siguientes
salvedades:
• La columna “aplicable” se comporta de la siguiente manera:
o Si aparece M indica que se trata de un requisito legal obligatorio
(Mandatory). Si no aplicara en su caso (porque no tiene ficheros con
datos de carácter personal, o éstos son simplemente de nivel Básico,
etc.) pulse sobre dicha casilla, lo que provocará:
Que cambie a n.a. y deje el porcentaje de dicho requisito
vacío en todas las fases.
Que la aplicabilidad de los requisitos hijos que tenga también
cambien a n.a. y deje el porcentaje de dichos requisitos
vacíos.
Que la aplicabilidad de las preguntas que tuviera dentro se
marquen como “n.a.”
No afecta a las valoraciones que tuviera hechas en las
salvaguardas.
Esto se traducirá en el SoA como que “no aplica” ese requisito. Si
quiere volver a hacer que aplique dicho requisito, vuelva a cliquear
sobre la n.a. .
o Si no aparece M significa que se trata de una salvaguarda, grupo
de salvaguardas o preguntas, por lo que si decide que no aplica al pulsar
dicha casilla se marcará como “n.a.” (lo habitual).
• Al pulsar con el botón derecho sobre un requisito y seleccionar “Descripción”,

podrá encontrar un enlace “más información” que le proporcionará más
información sobre el mismo respecto al Reglamento de Medidas de Seguridad
requerido por la LOPD.

SIN CLASIFICAR
SIN CLASIFICAR
5.4. GESTIÓN DEL PROYECTO
113. El contenido de esta pantalla varía en función de que se encuentre en modo Trabajo o
Presentación.
5.4.1. MODO TRABAJO
114. En este modo, la pantalla está dividida en las siguientes zonas:
1. Nombre de ventana
El nombre de la ventana vendrá compuesto por:
El nombre de la aplicación: Pilar Basic.
El código del proyecto: Se muestra entre corchetes.
El nombre del proyecto: Se muestra entre el último corchete y el guión.
El propietario de la licencia: Se muestra a continuación del guión.
• Proyecto
o Nuevo
Crea un nuevo proyecto.

SIN CLASIFICAR
SIN CLASIFICAR
o Abrir …
Permite cargar un proyecto ya creado.
o Recientes
Permite cargar uno de los últimos proyectos utilizados recientemente.
o Guardar
Guarda el proyecto abierto.
o Guardar como…
Guarda el proyecto abierto con el nombre de fichero y en la ruta donde
le indique el usuario.
o Guardar y cerrar
Cierra la aplicación PILAR Basic guardando los cambios realizados.
Permite proteger el proyecto con una contraseña. Si no desea utilizar
una contraseña, marque “sin contraseña” o deje los campos de
“contraseña” y “confirmación” de la contraseña en blanco.
o Cancelar y cerrar
Cierra la aplicación PILAR Basic sin guardar los cambios realizados
desde la última vez que guardó el proyecto.
• Editar
o Preferencias
Permite cambiar el tipo y el tamaño de la letra de la aplicación.
Letra: Este campo le permite seleccionar el tipo de letra

deseado.
Tamaño: Este campo le permite seleccionar el tamaño de letra
deseado.
Guarda los datos y cierra (botón ): Pulse este botón para
aplicar los cambios y cerrar la ventana.
Cierra sin guardar los datos (botón ): Pulse este botón para
cancelar los cambios y cerrar la ventana.
• Ayuda
o Ayuda
Permite acceder a la ayuda de la aplicación.

SIN CLASIFICAR
SIN CLASIFICAR
o Referencias
Muestra enlaces a webs sobre metodologías y estándares de análisis de
riesgos.
Para poder utilizar esta opción, el equipo deberá contar con acceso a
Internet.
o Acerca de Pilar Basic

Muestra la herramienta en uso, su número de versión y el modo en el
que se ha ejecutado (análisis cualitativo).
o ¿Última versión?
Muestra cuál es la versión que se está utilizando, cuál es la última
versión disponible en la web y cómo puede descargársela.
Para poder utilizar esta opción, el equipo deberá contar con acceso a
Internet.
o Estado del sistema

Muestra el sistema operativo del equipo, el idioma, la versión de Java,
la ruta donde se encuentra el motor de Java, la memoria máxima que
puede utilizar Java, la cantidad de memoria en uso por Java, la cantidad
de memoria libre por Java.
Al pulsar en el botón “update” actualiza estos datos sin tener que cerrar
y volver a acceder a esta opción.
A través de la barra de herramientas puede acceder directamente a una selección de
las funciones anteriormente descritas:
• Nuevo ( )
Crea un nuevo proyecto (es lo mismo que pulsar en Proyecto Nuevo).
• Abre … ( )
Carga un proyecto existente (es lo mismo que pulsar en Proyecto Abrir).
• Guarda ( )
Guarda el proyecto actual en disco (es lo mismo que pulsar en Proyecto
Guardar).
4. Panel de control
Desde este panel podrá acceder a aquellas las funciones del proyecto de análisis y
gestión de riesgos cualitativo.
Para conocer las funciones que tiene disponibles consulte Análisis y Gestión de
Riesgos.

SIN CLASIFICAR
SIN CLASIFICAR
En la parte izquierda de esta zona puede ver el nombre del fichero con el que está
trabajando.
En la parte derecha de esta zona puede acceder directamente a una selección de las
funciones anteriormente descritas:
Cierra la aplicación PILAR Basic guardando los cambios realizados (es lo
mismo que pulsar en Proyecto Guardar y cerrar).
• Ayuda ( )
Cierra la aplicación PILAR Basic sin guardar los cambios realizados desde la
última vez que guardó el proyecto (desde la última vez que pulsara ),
descartando los cambios (es lo mismo que pulsar en Proyecto Cancelar y
cerrar).
5.4.1.1. ABRIR UN PROYECTO YA EXISTENTE
115. Al seleccionar esta opción, se le abrirá una ventana de exploración para que pueda
seleccionar el fichero donde almacenó el proyecto. Los proyectos se guardan en
ficheros con extensión .MGR.
Compatibilidad entre PILAR y PILAR Basic
Antes de abrir en PILAR Basic un proyecto creado con PILAR, se recomienda

que lea la sección Compatibilidad entre PILAR y PILAR Basic.

SIN CLASIFICAR
SIN CLASIFICAR
116. Una vez seleccionado el fichero, pulse en “Abrir”. A continuación se cerrará esa
ventana de exploración.
117. Una vez cargado el proyecto, le aparecerá una ventana que le mostrará los siguientes
datos:
- Código y nombre del proyecto
- Biblioteca en uso
- Versión de PILAR con la que se guardó el proyecto
- Fecha en la que se guardó el proyecto
118. Una vez pulse el botón “Aceptar” de dicha ventana, se cerrará y le mostrará el proyecto
en la zona del Panel de Control.
5.4.1.2. CREAR UN PROYECTO NUEVO
119. Al crear un nuevo proyecto se le abrirá automáticamente la ventana de Datos del

proyecto.
120. Si ya tenía abierto un proyecto, se le abrirá una nueva ventana de Gestión de Proyectos
para que pueda trabajar con los dos (o más) proyectos a la vez.
5.4.1.3. GUARDAR UN PROYECTO
121. Cuando guarda un proyecto por primera vez, tanto si pulsa en “Guarda” como en
“Guarda como…”, le solicitará la ruta y el nombre del fichero donde almacenar el
proyecto. La extensión del fichero será .mgr.

SIN CLASIFICAR
SIN CLASIFICAR
122. Más adelante, si ha abierto un proyecto ya existente, al pulsar “Guarda” no le solicitará

el nombre del fichero porque lo almacenará en aquel que haya abierto. En el caso de
pulsar en “Guarda como…” siempre le solicitará la ruta y el nombre del fichero donde
almacenar el proyecto.
123. La aplicación permite proteger los proyectos mediante contraseña. Por ese motivo, cada
vez que guarde un proyecto le solicitará la contraseña que desee utilizar:
• Para establecer una contraseña, introduzca la misma palabra de paso en los
campos “contraseña” y “confirmación”.
• En caso de no querer protegerlo con contraseña, marque la casilla “sin
contraseña” o deje los campos de “contraseña” y “confirmación” de la
contraseña en blanco.
124. A continuación pulse en “guarda los datos y cierra”.
5.4.2. MODO PRESENTACIÓN
125. Este modo es igual al modo Trabajo con la salvedad de que todas aquellas funciones
que permitan la creación, modificación o almacenamiento de cambios están
deshabilitadas.

SIN CLASIFICAR
SIN CLASIFICAR
ANEXO A. GLOSARIO
Si no encuentra el término buscado aquí, consúltelo on-line en el Glosario de Seguridad TIC.
Término Descripción
AR Análisis de Riesgos
Capa Sirve para agrupar un conjunto de activos, con el objetivo de
facilitar el trabajo con los mismos, por lo que no tiene ninguna
repercusión en el análisis de riesgos
CSV Comma Separated Values
Dimensión de Es una característica o atributo que hace valioso a un activo, y
seguridad sobre el que se valora a un activo
Dimensiones de Las dimensiones son:
seguridad • Confidencialidad: Sólo los usuarios autorizados tienen acceso
a la información.
• Integridad: La información no es alterada.
• Disponibilidad: La información está disponible donde y
cuando se necesita.
• Autenticidad: Aseguramiento de la identidad.
• Trazabilidad: Conocer quién ha hecho qué y cuándo con la
información.
Dominio Conjunto de activos sometidos a un tratamiento homogéneo, bajo
una cierta política de seguridad común
Impacto Consecuencia que sobre un activo tiene la materialización de una
amenaza
Impacto residual Impacto remanente en el sistema tras la implantación de las
salvaguardas determinadas en el plan de seguridad
Riesgo Estimación del grado de exposición a que una amenaza se
materialice sobre uno o más activos causando daños o perjuicios a
la Organización
Riesgo residual Riesgo remanente en el sistema tras la implantación de las
salvaguardas determinadas en el plan de seguridad de la
información
SoA Statement of Applicability
Valoración acumulada Es la valoración que recibe un activo hijo de su activo padre. Por
ejemplo: si un servidor es crítico para la organización, la toma de
corriente que le da energía a ese servidor se convierte también en
crítica, por lo que dicha toma de corriente tendrá la misma
valoración que el servidor.
XML Extensible Markup Language

SIN CLASIFICAR

Pilar Manual de Usuario 4.4

Cargado por

Copyright:

Formatos disponibles

Pilar Manual de Usuario 4.4

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Pilar Manual de Usuario 4.4

Cargado por

Copyright:

Formatos disponibles

SIN CLASIFICAR

GUÍA DE SEGURIDAD DE LAS TIC

 Editor y Centro Criptológico Nacional, 2010

Tirada: 1000 ejemplares

Centro Criptológico Nacional i

Félix Sanz Roldán

Centro Criptológico Nacional ii

5.3.4.3.1. GENERAR INFORME GRÁFICO.......................................................74

Centro Criptológico Nacional iv

1. Evaluar el estado de seguridad de un sistema requiere un modelado del mismo,

5. En ambos casos se puede utilizar un enfoque cualitativo o cuantitativo.

6. La herramienta sigue el modelo Magerit (Metodología de Análisis y Gestión de Riesgos

Centro Criptológico Nacional 5

Antes de instalar una nueva versión de PILAR…

Si va a utilizar una nueva versión de PILAR Basic con un proyecto (fichero

Si ha realizado modificaciones en los ficheros de configuración de PILAR Basic,

10. Para conocer si su equipo tiene instalada la máquina virtual de Java:

11. Para instalar la máquina virtual de Java:

Centro Criptológico Nacional 6

Centro Criptológico Nacional 7

4. COMPATIBILIDAD ENTRE PILAR Y PILAR BASIC

4.1.1. VALORACIÓN DE LOS DOMINIOS

Centro Criptológico Nacional 8

4.1.3. SALVAGUARDAS, DOMINIOS Y FASES

57. PILAR permite que un usuario determine:

Centro Criptológico Nacional 9

17. Para ejecutar PILAR Basic:

En este modo puede abrir un proyecto ya creado (no puede modificar,

4. Análisis y Gestión de Riesgos

Centro Criptológico Nacional 11

29. La biblioteca también proporciona:

Centro Criptológico Nacional 12

• frecuencias típicas de materialización de las amenazas

30. La biblioteca puede completarse con extensiones:

33. Visualizar la licencia en uso:

Centro Criptológico Nacional 13

Si la información sobre la licencia instalada muestra “no se encuentra una licencia

5.1.3.1. ADQUISICIÓN DE LICENCIA

a) Si pertenece usted a una administración pública española

b) Si no pertenece usted a una administración pública española

Diríjase a www.ar-tools.com para adquirir una licencia para el uso de la aplicación.

También puede, pulsando en el menú Licencia Licencia comercial desde la

5.1.3.2. INSTALACIÓN O CAMBIO

35. Previa a la instalación o cambio de la licencia, se recomienda que copie el fichero de

a) Estando en modo Presentación

Se le abrirá una ventana para seleccionar el fichero de licencia. Dicha ventana

Centro Criptológico Nacional 14

La aplicación, ya con la licencia cargada, volverá a la Ventana de Selección del tipo de

Para comprobar si la licencia se ha instalado correctamente, observe el apartado

b) Estando en modo Trabajo

Centro Criptológico Nacional 15

Se le abrirá una ventana para seleccionar el fichero de licencia. Dicha ventana

La aplicación, ya con la licencia cargada, volverá a la Ventana de Selección del tipo de

5.1.4. PLANTILLAS XML

Contenido general del fichero Explicación

Contenido general del fichero Explicación

Centro Criptológico Nacional 17

5.2. GUÍA RÁPIDA